СОГЛАШЕНИЕ О ПОРУЧЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

(Приложение № 1 к Договору-оферте на предоставление доступа к CRM-сервису «Lugovets»)

СТАТУС ДОКУМЕНТА: ЧЕРНОВИК ДЛЯ УТВЕРЖДЕНИЯ ВЛАДЕЛЬЦЕМ И ПРОВЕРКИ ЮРИСТОМ. Документ подготовлен AI-ассистентом как заготовка и НЕ является юридической консультацией. До публикации/использования подлежит проверке практикующим юристом по защите персональных данных (Закон № 152-ФЗ). Плейсхолдеры в квадратных скобках [...] требуют решения владельца.

Редакция: [ДАТА РЕДАКЦИИ] Версия: v2.0 (draft)

1. Термины и определения

1.1. Платформа / Обработчик — [ИП Луговец Илья Сергеевич, ОГРНИП 321911200039489, ИНН 910526245847, адрес регистрации: [ЮР.АДРЕС] / либо ООО — РЕКВИЗИТЫ УТОЧНИТЬ], оказывающий услуги по предоставлению доступа к программному обеспечению (CRM-сервису) «Lugovets» по модели SaaS и осуществляющий обработку персональных данных по поручению Оператора.

1.2. Арендатор / Оператор — индивидуальный предприниматель или юридическое лицо (флористический бизнес), заключившее с Платформой Договор-оферту на использование CRM-сервиса «Lugovets» и в рамках своей предпринимательской деятельности самостоятельно определяющее цели и состав обрабатываемых персональных данных своих покупателей. Реквизиты Оператора указываются при регистрации в Сервисе и фиксируются в личном кабинете.

1.3. Сервис — программно-аппаратный комплекс CRM «Lugovets», предоставляемый Платформой Оператору в порядке, установленном Договором-офертой.

1.4. Субъекты ПДн — физические лица, персональные данные которых обрабатываются в Сервисе по поручению Оператора: покупатели (клиенты) Оператора, получатели заказов, иные физические лица, чьи данные Оператор вносит в Сервис.

1.5. Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (Субъекту ПДн), обрабатываемая в Сервисе по поручению Оператора.

1.6. Обработка ПДн, Оператор, трансграничная передача, обезличивание, блокирование, уничтожение, предоставление, распространение — применяются в значениях, установленных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ). Термин Обработчик используется в настоящем Соглашении для обозначения лица, осуществляющего обработку ПДн по поручению оператора в смысле части 3 статьи 6 Закона № 152-ФЗ (Закон № 152-ФЗ не содержит самостоятельного термина «обработчик»; такое лицо именуется в Законе «лицом, осуществляющим обработку персональных данных по поручению оператора»).

1.7. Поручение — настоящее Соглашение, заключаемое в соответствии с частью 3 статьи 6 Закона № 152-ФЗ, на основании которого Оператор поручает Обработчику обработку ПДн Субъектов ПДн.

1.8. Субобработчик — третье лицо, привлекаемое Обработчиком к обработке ПДн для исполнения настоящего Поручения (поставщики облачной инфраструктуры, каналов связи, платёжные сервисы, провайдеры AI и т.п.), которому обработка ПДн поручается на условиях, не противоречащих части 3 статьи 6 Закона № 152-ФЗ.

2. Предмет Соглашения

2.1. Настоящее Соглашение определяет условия, на которых Оператор поручает, а Обработчик принимает на себя обязательство осуществлять обработку ПДн Субъектов ПДн в объёме и для целей, установленных настоящим Соглашением, в рамках предоставления Оператору доступа к Сервису по Договору-оферте.

2.2. Соглашение заключается во исполнение требований части 3 статьи 6 Закона № 152-ФЗ и в качестве существенных условий поручения определяет: перечень действий (операций) с ПДн, которые будут совершаться Обработчиком (раздел 4), цели обработки (раздел 6), обязанность Обработчика соблюдать конфиденциальность ПДн (раздел 8) и обеспечивать их безопасность при обработке, а также требования к защите обрабатываемых ПДн в соответствии со статьёй 19 Закона № 152-ФЗ (раздел 9).

2.3. Распределение ролей. В отношении ПДн Субъектов ПДн (покупателей и получателей заказов Оператора):

• Оператором ПДн (лицом, организующим и (или) осуществляющим обработку ПДн, определяющим цели и состав обрабатываемых ПДн) является Арендатор. Оператор самостоятельно определяет цели и состав обрабатываемых ПДн, обеспечивает наличие правовых оснований обработки и согласий Субъектов ПДн.
• Лицом, осуществляющим обработку ПДн по поручению Оператора (Обработчиком), является Платформа. Платформа осуществляет обработку ПДн исключительно по документированным инструкциям Оператора (в объёме настоящего Соглашения и функциональности Сервиса), не определяет самостоятельно цели и содержание обработки таких ПДн и не приобретает в их отношении статус самостоятельного оператора.

2.4. Разграничение с иными отношениями. Обработка Платформой ПДн самого Оператора и его представителей (контактного лица, реквизитов, учётных данных, платёжной информации Арендатора), а также обезличенных и агрегированных данных, не позволяющих идентифицировать Субъектов ПДн, регулируется отдельными документами Платформы (Политика обработки ПДн Платформы, Договор-оферта) и не входит в предмет настоящего Соглашения; в этих отношениях Платформа выступает самостоятельным Оператором ПДн и самостоятельно исполняет связанные с этим публично-правовые обязанности (в том числе, при наличии оснований, по статьям 18.1, 22 Закона № 152-ФЗ).

2.5. Настоящее Соглашение является неотъемлемой частью Договора-оферты. Акцепт Договора-оферты (регистрация в Сервисе, проставление отметки о согласии и/или оплата подписки) одновременно означает заключение настоящего Соглашения на изложенных условиях (статьи 435, 437, 438 ГК РФ; статья 6 Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи»). Совершение Оператором указанных конклюдентных действий признаётся Сторонами использованием простой электронной подписи и является достаточным для заключения Соглашения в письменной форме (пункт 3 статьи 438, пункт 2 статьи 434 ГК РФ). Дата, время, идентификаторы учётной записи Оператора и сетевые параметры акцепта фиксируются Платформой в технических журналах Сервиса и признаются Сторонами надлежащим доказательством совершения акцепта.

3. Поручение на обработку. Документированные инструкции

3.1. Оператор поручает Обработчику осуществлять обработку ПДн Субъектов ПДн исключительно в объёме, необходимом для функционирования Сервиса и предоставления Оператору заказанных им функций.

3.2. Документированные инструкции Оператора составляют в совокупности: (а) настоящее Соглашение; (б) Договор-оферта и подключённые Оператором тарифы/модули Сервиса; (в) фактические действия Оператора и его уполномоченных пользователей в интерфейсе Сервиса и через API (внесение, изменение, выгрузка, удаление данных, настройка рассылок, подключение каналов, включение AI-функций и т.п.); (г) настройки конфигурации аккаунта Оператора.

Иные указания Оператора (вне перечисленных способов) обязательны для Обработчика только при условии их явного письменного согласования Сторонами и при технической реализуемости в рамках Сервиса.

3.3. Обработчик обрабатывает ПДн только в соответствии с инструкциями Оператора и не использует ПДн Субъектов ПДн для собственных целей, не передаёт их третьим лицам и не раскрывает иначе как в случаях, прямо предусмотренных настоящим Соглашением, поручениями Оператора или обязательным требованием законодательства РФ (включая обязательные запросы уполномоченных государственных органов).

3.4. Обработчик не обязан проводить юридическую экспертизу правомерности инструкций Оператора, проверять наличие у Оператора правовых оснований и согласий Субъектов ПДн, а также достоверность вносимых Оператором данных, и не несёт ответственности за содержание инструкций Оператора в пределах, установленных разделом 12 и статьёй 401 ГК РФ. Если Обработчику станет очевидно (без проведения такой экспертизы), что инструкция Оператора противоречит требованиям законодательства РФ, Обработчик вправе приостановить исполнение такой инструкции, уведомив Оператора. Настоящий пункт не ограничивает обязанности Обработчика, императивно установленные частью 3 статьи 6 и статьёй 19 Закона № 152-ФЗ.

4. Перечень действий (операций) с ПДн

4.1. Обработчик осуществляет следующие действия с ПДн (с использованием средств автоматизации): сбор (приём данных, вносимых Оператором и его пользователями, а также поступающих из подключённых Оператором каналов и источников), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в пределах, установленных настоящим Соглашением, обезличивание, блокирование, удаление, уничтожение (часть 3 статьи 3 Закона № 152-ФЗ).

4.2. Способы обработки: автоматизированная обработка с использованием средств вычислительной техники; неавтоматизированная обработка не предполагается, за исключением случаев технической поддержки по обращению Оператора.

4.3. Обработчик не осуществляет принятие решений, порождающих юридические последствия в отношении Субъектов ПДн или иным образом затрагивающих их права и законные интересы, исключительно на основании автоматизированной обработки ПДн (статья 16 Закона № 152-ФЗ).

5. Категории Субъектов ПДн и категории ПДн

5.1. Категории Субъектов ПДн: покупатели (клиенты) Оператора — физические лица; получатели заказов (адресаты букетов); иные физические лица, контактные данные которых Оператор вносит в Сервис.

5.2. Категории обрабатываемых ПДн (определяются Оператором в пределах функциональности Сервиса):

• фамилия, имя, отчество;
• контактный телефон, адрес электронной почты;
• адрес доставки, данные получателя заказа (имя, телефон);
• идентификаторы в мессенджерах и иных каналах связи, содержание переписки с Оператором;
• история заказов, суммы заказов, бонусный/лояльностный баланс, показатели LTV;
• памятные/важные даты, указанные Субъектом ПДн (по усмотрению Оператора);
• иные данные, вносимые Оператором в рамках функций Сервиса.

Конкретный состав обрабатываемых ПДн определяется Оператором; настоящий перечень является ориентировочным и отражает типовую функциональность Сервиса.

5.3. Обработка специальных категорий ПДн (статья 10 Закона № 152-ФЗ) и биометрических ПДн (статья 11 Закона № 152-ФЗ) функциональностью Сервиса не предполагается. Внесение таких данных Оператором не предусмотрено настоящим Соглашением и не входит в выданное Обработчику Поручение. Если Оператор в нарушение настоящего пункта внесёт такие данные, обеспечение всех условий их законной обработки (включая получение согласия в требуемой форме и выполнение специальных требований статей 10, 11 Закона № 152-ФЗ) является исключительной обязанностью Оператора; Обработчик не принимает на себя дополнительных обязательств в отношении таких данных. Изложенное не освобождает Обработчика от обязанности обеспечивать конфиденциальность и безопасность фактически обрабатываемых им ПДн в соответствии со статьёй 19 Закона № 152-ФЗ в общем объёме мер, применяемых Обработчиком к Сервису.

5.4. Сведения о платёжных картах Субъектов ПДн Обработчиком не хранятся; обработка платёжной информации осуществляется платёжным сервисом (ЮKassa) как самостоятельным участником в соответствии с требованиями стандарта PCI DSS.

6. Цели обработки

6.1. Обработка ПДн осуществляется Обработчиком исключительно в целях предоставления Оператору функций Сервиса, а именно:

• ведение клиентской базы и карточек клиентов Оператора;
• оформление, учёт и сопровождение заказов Оператора;
• обеспечение коммуникаций Оператора с его клиентами (мессенджеры, email, SMS, телефония) в подключённых Оператором каналах;
• ведение программы лояльности Оператора;
• осуществление по поручению Оператора информационных и рекламных рассылок (при наличии у Оператора соответствующих согласий Субъектов ПДн — см. п. 11.4);
• формирование аналитики и отчётности для Оператора;
• техническая поддержка, резервное копирование, обеспечение безопасности и работоспособности Сервиса.

6.2. Обработчик не вправе обрабатывать ПДн для целей, не указанных в настоящем разделе. Соответствие объёма и содержания обрабатываемых ПДн заявленным целям и их неизбыточность по отношению к целям обработки (часть 5 статьи 5 Закона № 152-ФЗ) обеспечивает Оператор, определяющий состав вносимых данных и используемых функций Сервиса.

7. Срок обработки

7.1. Обработка ПДн осуществляется в течение срока действия Договора-оферты и настоящего Соглашения.

7.2. Соглашение действует с момента акцепта Договора-оферты и до прекращения Договора-оферты по любому основанию.

7.3. По прекращении настоящего Соглашения ПДн возвращаются Оператору и (или) удаляются (уничтожаются) в порядке, установленном разделом 13 настоящего Соглашения, с учётом части 4 статьи 21 Закона № 152-ФЗ.

8. Конфиденциальность

8.1. Обработчик обязуется обеспечивать конфиденциальность ПДн, ставших ему известными в связи с исполнением настоящего Соглашения, не раскрывать их третьим лицам и не распространять без поручения (согласия) Оператора, за исключением случаев, предусмотренных федеральным законом (статья 7, часть 3 статьи 6 Закона № 152-ФЗ).

8.2. Обработчик обеспечивает, чтобы работники и иные лица, допущенные к обработке ПДн, были предупреждены о конфиденциальности ПДн и приняли на себя соответствующие обязательства, а доступ к ПДн предоставлялся по принципу минимальной необходимости.

8.3. Обязательства по конфиденциальности сохраняют силу и после прекращения настоящего Соглашения.

9. Меры по обеспечению безопасности ПДн

9.1. Обработчик при обработке ПДн по поручению Оператора принимает меры, предусмотренные статьёй 19 Закона № 152-ФЗ, и обеспечивает выполнение требований, установленных Постановлением Правительства РФ от 01.11.2012 № 1119, а также применимых требований к защите информации (приказ ФСТЭК России от 18.02.2013 № 21; нормативные акты ФСБ России в применимой части — при использовании средств криптографической защиты), в объёме, соответствующем определённому в установленном порядке уровню защищённости ПДн.

9.2. Состав и содержание мер защиты Обработчик определяет самостоятельно как лицо, осуществляющее техническую обработку, исходя из требований статьи 19 Закона № 152-ФЗ, определённого уровня защищённости и актуальных угроз безопасности ПДн. Такие меры могут включать, в частности: определение угроз и применение прошедших оценку соответствия средств защиты информации; разграничение прав доступа, идентификацию и аутентификацию пользователей; шифрование данных при передаче и при хранении; ведение журналов событий безопасности и выявление фактов несанкционированного доступа; резервное копирование и восстановление данных; учёт носителей ПДн; контроль эффективности принимаемых мер. Перечень носит иллюстративный характер; конкретный состав, технические параметры и средства реализации мер Обработчик вправе изменять без уведомления Оператора при условии непрерывного соблюдения требований статьи 19 Закона № 152-ФЗ и сохранения уровня защищённости не ниже установленного. Настоящий пункт не создаёт самостоятельных гарантий применения конкретного технического решения, средства или параметра защиты.

9.3. Локализация. В части обработки ПДн граждан Российской Федерации, осуществляемой средствами Сервиса, Обработчик обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение таких ПДн с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ). Особенности обработки при использовании опциональных AI-функций определяются разделом 10.

9.4. Предоставление Оператору сведений о принятых мерах защиты осуществляется по обоснованному письменному запросу Оператора в объёме, разумно необходимом Оператору для подтверждения соблюдения требований законодательства, и с учётом ограничений, связанных с обеспечением безопасности самого Сервиса, сохранением охраняемой законом тайны и защитой данных иных арендаторов. Обработчик не обязан предоставлять сведения, раскрытие которых может снизить уровень защищённости Сервиса. Проведение Оператором или привлечёнными им лицами проверок (аудитов, инспекций) инфраструктуры Обработчика осуществляется только при наличии прямого предписания уполномоченного государственного органа либо по отдельному письменному соглашению Сторон, определяющему порядок, объём и оплату такой проверки.

10. Привлечение субобработчиков. Трансграничная передача

10.1. Оператор предоставляет Обработчику общее (бланкетное) согласие на привлечение субобработчиков (поручение обработки третьим лицам) для исполнения настоящего Поручения. Привлечение субобработчиков необходимо для функционирования Сервиса (облачная инфраструктура, каналы связи, платёжный сервис, отправка email/SMS, AI-функции и т.п.).

10.2. Обработчик возлагает на привлекаемых субобработчиков обязательства по обеспечению конфиденциальности и безопасности ПДн не ниже предусмотренных настоящим Соглашением и частью 3 статьи 6 Закона № 152-ФЗ. Перед Оператором ответственность за действия привлечённых субобработчиков несёт Обработчик; субобработчик несёт ответственность перед Обработчиком (часть 5 статьи 6 Закона № 152-ФЗ). Ответственность Обработчика за действия субобработчиков ограничена в пределах раздела 12.

10.3. Актуальный перечень субобработчиков размещается Обработчиком [по адресу: [URL СТРАНИЦЫ СУБОБРАБОТЧИКОВ] / в личном кабинете Оператора] и включает, в частности: [поставщик облачной инфраструктуры/хостинга в РФ], [ЮKassa — платежи], [провайдер SMS], [провайдер email], [провайдеры мессенджеров/каналов], [провайдер геокодирования/хранения файлов], [провайдер(ы) AI]. Обработчик уведомляет Оператора об изменении состава субобработчиков [способом и в срок: УТОЧНИТЬ — например, путём обновления страницы перечня с уведомлением в личном кабинете не менее чем за 14 дней до начала обработки новым субобработчиком]. Если Оператор не согласен с привлечением нового субобработчика, его единственным средством защиты является отказ от соответствующих функций Сервиса либо расторжение Договора-оферты в указанный срок; продолжение использования Сервиса (соответствующей функции) после вступления изменения в силу означает согласие Оператора с привлечением такого субобработчика. Настоящий пункт не лишает Субъектов ПДн прав, предоставленных им Законом № 152-ФЗ.

10.4. Трансграничная передача (в т.ч. при использовании AI-функций).

10.4.1. Базовая функциональность Сервиса не требует трансграничной передачи ПДн: основная обработка осуществляется на территории РФ (п. 9.3).

10.4.2. Отдельные AI-функции Сервиса (интеллектуальный ассистент, подсказки ответов, анализ и резюмирование переписки и т.п.) могут предполагать передачу данных иностранным субобработчикам — провайдерам систем искусственного интеллекта, находящимся за пределами РФ. Перечень государств и провайдеров: [УКАЗАТЬ — например: США (Anthropic PBC, OpenAI) и/или иные; либо «трансграничная передача не осуществляется, AI-функции реализованы на провайдере — резиденте РФ (например, на базе YandexGPT)». ВНИМАНИЕ: подлежит сверке с фактической архитектурой — если AI работает только на резиденте РФ, положения настоящего пункта в части трансграничной передачи и связанные обязанности по уведомлению РКН/получению согласий не применяются].

10.4.3. AI-функции, предполагающие трансграничную передачу, являются опциональными и активируются Оператором самостоятельно и под свою ответственность. В тех случаях и в том объёме, в которых это технически поддерживается Сервисом, перед передачей данных иностранному провайдеру Сервис применяет обезличивание/маскирование прямых идентификаторов (телефон, email, имя, адрес) в передаваемых фрагментах. Обработчик не гарантирует полного исключения возможности идентификации Субъекта ПДн на основании передаваемых данных и не гарантирует, что переданные данные утрачивают характер персональных. Активируя AI-функции, Оператор подтверждает, что обеспечил все правовые основания трансграничной передачи в отношении любых данных, передаваемых иностранному провайдеру, включая данные, не подвергшиеся обезличиванию.

10.4.4. Трансграничная передача осуществляется при наличии правовых оснований, предусмотренных статьёй 12 Закона № 152-ФЗ. (а) До начала осуществления трансграничной передачи ПДн оператор обязан уведомить уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) о своём намерении осуществлять трансграничную передачу ПДн (часть 3 статьи 12 Закона № 152-ФЗ). Поскольку оператором ПДн Субъектов ПДн является Арендатор и именно он определяет состав данных и принимает решение об активации AI-функций, обязанность по подаче такого уведомления и по обеспечению надлежащих правовых оснований трансграничной передачи лежит на Операторе. Настоящий подпункт не затрагивает обязанностей Обработчика, которые могут возникать у него как у самостоятельного оператора в отношении трансграничной передачи ПДн, обрабатываемых им в собственных целях (п. 2.4). (б) Если трансграничная передача осуществляется на территорию иностранного государства, не обеспечивающего адекватную защиту прав субъектов ПДн (то есть не включённого в перечень, формируемый Роскомнадзором, и в отношении которого Роскомнадзор не принял решение об ограничении или запрете передачи в порядке частей 8–11 статьи 12 Закона № 152-ФЗ), правовым основанием передачи является, в частности, согласие Субъекта ПДн на трансграничную передачу его ПДн (статья 9, часть 1 статьи 12 Закона № 152-ФЗ), оформленное с учётом требований к содержанию такого согласия. Получение такого согласия от Субъектов ПДн обеспечивает Оператор (см. раздел 11). (в) Обработчик не осуществляет трансграничную передачу при наличии действующего решения Роскомнадзора о её запрете или ограничении в отношении соответствующего государства.

10.4.5. Обработчик по письменному запросу Оператора предоставляет имеющиеся у него технические сведения, необходимые Оператору для исполнения обязанностей по статье 12 Закона № 152-ФЗ (состав передаваемых данных, перечень иностранных государств и провайдеров). Подача уведомлений и иных документов в Роскомнадзор остаётся обязанностью Оператора.

11. Обязанности и заверения Оператора. Запросы субъектов и регулятора

11.1. Правовые основания и согласия — зона ответственности Оператора. Оператор как оператор ПДн самостоятельно и под свою ответственность обеспечивает: (а) наличие законного основания обработки каждого вида ПДн (статья 6 Закона № 152-ФЗ); (б) получение и надлежащее оформление согласий Субъектов ПДн там, где это требуется (статья 9 Закона № 152-ФЗ), включая согласие на трансграничную передачу (статья 12) и согласие на получение рекламных сообщений по сетям электросвязи (часть 1 статьи 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»); (в) информирование Субъектов ПДн об обработке (статья 18 Закона № 152-ФЗ) и разработку и публикацию собственной политики в отношении обработки ПДн (статья 18.1 Закона № 152-ФЗ); (г) подачу уведомления в Роскомнадзор о намерении осуществлять обработку ПДн (статья 22 Закона № 152-ФЗ), а также (при наличии трансграничной передачи) уведомления по части 3 статьи 12 Закона № 152-ФЗ.

11.2. Заверения Оператора (статья 431.2 ГК РФ). Оператор заверяет, что: он является надлежащим оператором вносимых им ПДн; обладает всеми необходимыми правовыми основаниями и согласиями на их обработку и на поручение их обработки Обработчику для целей раздела 6; внесение данных в Сервис и их обработка Обработчиком по настоящему Соглашению не нарушают прав Субъектов ПДн и требований законодательства РФ. Оператор признаёт, что Обработчик заключает настоящее Соглашение и предоставляет доступ к Сервису, полагаясь на достоверность данных заверений.

11.3. Распределение ответственности. Обработчик не определяет цели и состав обрабатываемых ПДн, не контролирует и не обязан проверять правомерность их получения Оператором и наличие у Оператора согласий Субъектов ПДн. Во взаимоотношениях Сторон Обработчик не несёт ответственности перед Оператором за отсутствие или дефектность правовых оснований обработки и согласий, за достоверность и актуальность вносимых Оператором данных, а равно за содержание рассылок и иных коммуникаций, инициируемых Оператором. Настоящий пункт распределяет ответственность между Сторонами и не затрагивает солидарной обязанности оператора и лица, осуществляющего обработку по поручению, перед Субъектом ПДн, установленной законом (часть 5 статьи 6 Закона № 152-ФЗ): в случае предъявления Субъектом ПДн требований к Обработчику и удовлетворения их Обработчиком, последний вправе требовать от Оператора возмещения в порядке регресса в той части, в которой вред вызван нарушениями Оператора, с учётом раздела 12.

11.4. Рассылки (38-ФЗ). Распространение Оператором рекламных сообщений по сетям электросвязи (в том числе посредством SMS, мессенджеров, email) через Сервис допускается только при наличии у Оператора предварительного согласия адресата на получение рекламы (часть 1 статьи 18 Закона № 38-ФЗ). Инициатором и заказчиком таких рассылок выступает Оператор; Обработчик предоставляет лишь технический инструмент рассылок по поручению Оператора, не определяет содержание, адресатов и факт направления рекламы и не отвечает за соблюдение Оператором требований законодательства о рекламе.

11.5. Обработка запросов Субъектов ПДн и Роскомнадзора. Поскольку оператором является Оператор, обращения Субъектов ПДн (доступ к информации об обработке, уточнение, блокирование, уничтожение, отзыв согласия, прекращение обработки — статьи 14, 20, 21 Закона № 152-ФЗ) и запросы Роскомнадзора, относящиеся к данным Оператора, рассматривает и исполняет по существу Оператор. Обработчик: (а) в разумный срок перенаправляет Оператору поступившие напрямую Обработчику обращения Субъектов ПДн и запросы регулятора, относящиеся к данным Оператора, и самостоятельно их по существу не разрешает; (б) по обоснованному поручению Оператора оказывает Оператору техническое содействие в исполнении таких обращений в пределах штатной функциональности Сервиса (предоставление, выгрузка, исправление, блокирование, удаление ПДн). Содействие в пределах штатной функциональности оказывается без дополнительной платы. Объём, сроки и стоимость нестандартного содействия (выходящего за рамки штатных функций Сервиса) согласуются Сторонами дополнительно и [могут оплачиваться Оператором по согласованным расценкам — УТОЧНИТЬ]. Настоящий подпункт не должен создавать для Субъекта ПДн препятствий в реализации его прав, обеспечиваемых Оператором.

11.6. Оператор обязан использовать Сервис в соответствии с Договором-офертой, обеспечивать конфиденциальность своих учётных данных и разграничивать доступ своих пользователей. Обработчик не несёт ответственности за последствия несанкционированного доступа к аккаунту Оператора, произошедшего вследствие несоблюдения Оператором настоящего пункта.

12. Уведомление об инцидентах. Ответственность сторон

12.1. Уведомление об инцидентах (статья 21 Закона № 152-ФЗ). При выявлении инцидента, повлёкшего неправомерную или случайную передачу (предоставление, распространение, доступ) ПДн Субъектов ПДн Оператора, Обработчик уведомляет об этом Оператора без неоправданной задержки после установления Обработчиком факта инцидента и предоставляет имеющуюся у него на момент уведомления информацию, разумно необходимую Оператору для исполнения обязанностей по уведомлению Роскомнадзора, предусмотренных частями 3.1 и 3.2 статьи 21 Закона № 152-ФЗ (в течение 24 часов — о факте инцидента; в течение 72 часов — о результатах внутреннего расследования). Стороны признают, что обязанность по уведомлению регулятора в указанные законом сроки является обязанностью Оператора; Обработчик прилагает разумные усилия для своевременного информирования Оператора, однако не гарантирует получение Оператором сведений к конкретному моменту времени и не отвечает за пропуск Оператором сроков, установленных законом, при условии добросовестного исполнения Обработчиком настоящего пункта.

12.2. Уведомление Роскомнадзора и Субъектов ПДн в установленные законом сроки в отношении данных Оператора осуществляет Оператор как оператор ПДн. Обработчик не принимает на себя обязанность по самостоятельному уведомлению регулятора или Субъектов ПДн в отношении данных Оператора. Изложенное не освобождает Обработчика от исполнения собственных публично-правовых обязанностей, если они императивно возложены на него законом.

12.3. Отсутствие повышенных гарантий уровня обслуживания. Настоящее Соглашение не устанавливает сроков, гарантий и параметров доступности, превышающих требования действующего законодательства РФ, и не создаёт самостоятельных гарантий уровня обслуживания (SLA). Параметры доступности и поддержки Сервиса (при наличии) определяются исключительно Договором-офертой/тарифом.

12.4. Ответственность Оператора. Оператор несёт ответственность за: правомерность обработки и наличие оснований/согласий (раздел 11); достоверность вносимых данных; соблюдение требований законодательства о ПДн и о рекламе; исполнение обращений Субъектов ПДн и запросов регулятора. Оператор возмещает Обработчику документально подтверждённые убытки, причинённые Обработчику вследствие нарушения Оператором настоящего Соглашения и недостоверности предоставленных им заверений об обстоятельствах (статьи 393, 431.2 ГК РФ), включая суммы административных штрафов и иных санкций, наложенных на Обработчика уполномоченными органами либо взысканных с Обработчика по требованиям Субъектов ПДн, в части, причинённой нарушениями Оператора. Лимит ответственности, установленный пунктом 12.5, к ответственности Оператора по настоящему пункту не применяется.

12.5. Ответственность Обработчика. Обработчик отвечает перед Оператором за нарушение собственных обязательств по обеспечению конфиденциальности и безопасности при обработке ПДн (часть 3 статьи 6, статья 19 Закона № 152-ФЗ) на основаниях, предусмотренных статьёй 401 ГК РФ. Обработчик возмещает Оператору причинённый таким нарушением реальный ущерб; упущенная выгода и косвенные убытки возмещению не подлежат (пункт 1 статьи 15, пункт 1 статьи 400 ГК РФ). Совокупная ответственность Обработчика перед Оператором по настоящему Соглашению и Договору-оферте за любой период ограничена [суммой, равной размеру платы за подписку, фактически уплаченной Оператором за 12 месяцев, предшествующих событию, послужившему основанием ответственности / иной лимит — УТОЧНИТЬ]. Установленные настоящим пунктом ограничение и исключение ответственности применяются только во взаимоотношениях между Обработчиком и Оператором и не затрагивают права Субъектов ПДн, предусмотренные законом. Указанные ограничение и исключение ответственности не применяются к ответственности за умышленное нарушение обязательства (пункт 4 статьи 401 ГК РФ — заранее заключённое соглашение об устранении или ограничении ответственности за умышленное нарушение ничтожно), а равно в иных случаях, когда ограничение ответственности не допускается императивными нормами закона.

12.6. Стороны освобождаются от ответственности за неисполнение или ненадлежащее исполнение обязательств, если оно вызвано обстоятельствами непреодолимой силы (пункт 3 статьи 401 ГК РФ), а также действиями (бездействием), сбоями или прекращением работы привлечённых независимых сервисов и сетей связи, находящихся вне разумного контроля соответствующей Стороны. К обстоятельствам непреодолимой силы не относятся отсутствие у Стороны необходимых денежных средств и нарушение обязанностей её контрагентами, за исключением случаев, прямо предусмотренных законом. Освобождение от ответственности по настоящему пункту не распространяется на обязанности по обеспечению безопасности ПДн в той мере, в какой их неисполнение не вызвано обстоятельствами непреодолимой силы.

12.7. Неприменимость законодательства о защите прав потребителей. Услуги по настоящему Соглашению и Договору-оферте предоставляются Оператору исключительно для целей осуществления им предпринимательской деятельности и не предназначены для удовлетворения личных, семейных, домашних и иных нужд, не связанных с предпринимательством. Отношения Сторон не являются потребительскими; Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей» к ним не применяется (преамбула указанного Закона). Настоящее условие не затрагивает прав Субъектов ПДн — физических лиц, в том числе как потребителей в их собственных отношениях с Оператором.

13. Возврат и удаление ПДн по завершении обработки

13.1. В течение срока действия Соглашения Оператор вправе самостоятельно выгрузить ПДн Субъектов ПДн средствами Сервиса (экспорт) в машиночитаемом формате.

13.2. По прекращении Договора-оферты Обработчик по выбору Оператора, заявленному в течение [СРОК, например 30 дней] с даты прекращения, обеспечивает возможность выгрузки (возврата) Оператору ПДн либо их удаление. По истечении указанного срока (а равно при отсутствии заявления Оператора) Обработчик прекращает обработку и удаляет (уничтожает) ПДн Субъектов ПДн из рабочих систем; удаление (уничтожение) из резервных копий производится в плановом порядке ротации копий в срок до [СРОК, например 90 дней]. Прекращение обработки и уничтожение осуществляются с учётом части 4 статьи 21 Закона № 152-ФЗ.

13.3. Обработчик вправе сохранить ПДн и связанные сведения в объёме и на срок, необходимые для исполнения обязательных требований законодательства РФ (бухгалтерский и налоговый учёт, разрешение споров, требования к неизменности журналов аудита), с обеспечением их блокирования и конфиденциальности; по истечении такого срока данные подлежат уничтожению.

13.4. По обоснованному письменному запросу Оператора Обработчик в разумный срок подтверждает факт удаления (уничтожения) ПДн из рабочих систем.

14. Заключительные положения

14.1. К настоящему Соглашению применяется законодательство Российской Федерации.

14.2. В части, не урегулированной настоящим Соглашением, применяются положения Договора-оферты. В случае противоречия между ними в вопросах обработки ПДн преимущественную силу имеет настоящее Соглашение.

14.3. Обработчик вправе в одностороннем порядке изменять условия настоящего Соглашения, уведомляя Оператора [способом и в срок — УТОЧНИТЬ, не менее чем за 14 дней до вступления изменений в силу]. Продолжение использования Сервиса после вступления изменений в силу означает согласие Оператора с изменениями; при несогласии Оператор вправе расторгнуть Договор-оферту в порядке, им предусмотренном, до вступления изменений в силу. Изменения, ухудшающие положение Субъектов ПДн или противоречащие императивным требованиям законодательства РФ, ничтожны и не применяются.

14.4. Споры разрешаются в досудебном (претензионном) порядке; срок ответа на претензию — [30] дней с даты её получения. При недостижении согласия спор передаётся на рассмотрение арбитражного суда по месту нахождения Обработчика, если иная подсудность не установлена императивными нормами закона.

14.5. Соглашение заключается в электронной форме и признаётся равнозначным документу на бумажном носителе, подписанному собственноручной подписью (статья 6 Федерального закона от 06.04.2011 № 63-ФЗ; пункт 2 статьи 434, пункт 3 статьи 438 ГК РФ).

14.6. Недействительность или неприменимость отдельного положения настоящего Соглашения не влечёт недействительности остальных положений; недействительное положение подлежит замене на действительное, наиболее соответствующее намерению Сторон и требованиям закона.

РЕКВИЗИТЫ СТОРОН

Обработчик (лицо, осуществляющее обработку ПДн по поручению Оператора): [ИП Луговец Илья Сергеевич / ООО — УТОЧНИТЬ] ОГРНИП/ОГРН: [321911200039489 / ___] ИНН: [910526245847] Адрес: [ЮР.АДРЕС] Email для вопросов ПДн: [dpo@lugovets.ru]

Оператор: Наименование/ФИО: [из данных регистрации] ОГРН/ОГРНИП: [из данных регистрации] ИНН: [из данных регистрации] Адрес: [из данных регистрации] Email: [из данных регистрации]

Акцепт Оператора осуществляется конклюдентными действиями при регистрации/оплате (простая электронная подпись).