Поручение на обработку персональных данных

1. Стороны и предмет

1.1. Настоящий документ определяет условия обработки персональных данных, которые Заказчик поручает индивидуальному предпринимателю Нефёдкиной Елене Анатольевне, ОГРНИП 326527500044808, ИНН 525807157358, адрес: 607611, Нижегородская область, Богородский район, тер. КП Бурцево, ул. Тополиная, д. 4 (далее — Обработчик), в связи с использованием Сервиса Vernedo.

1.2. Документ является поручением на обработку персональных данных в смысле части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и содержит все условия, обязательность которых установлена указанной нормой: перечень действий с персональными данными, цели обработки, обязанность соблюдения конфиденциальности и обязанность обеспечения безопасности персональных данных в соответствии со статьёй 19 Закона.

1.3. Стороны поручения:

1.4. Основание поручения. При использовании Сервиса Заказчик вносит в него сведения о физических лицах, оператором которых он является: о представителях своей организации (сотрудниках, руководителях, контактных лицах) и о привлечённых им экспертах, чьи комментарии, цитаты и данные используются в создаваемых материалах. Обработка таких сведений средствами Сервиса и является предметом настоящего поручения.

1.5. Обработчик обрабатывает поручённые персональные данные исключительно в объёме и в целях, определённых настоящим поручением, и не определяет самостоятельно цели их обработки.

1.6. В силу части 4 статьи 6 Закона Обработчик не обязан получать согласие Субъектов на обработку персональных данных, поручённых Оператором.

2. Разграничение ролей: где Vernedo оператор, а где обработчик

2.1. Это ключевой раздел. От того, в какой роли выступает Vernedo, зависит, кто отвечает перед конкретным человеком за обработку его данных.

2.2. В отношении данных, перечисленных в первых двух строках таблицы, Vernedo действует как самостоятельный оператор: определяет цели обработки, правовые основания, сроки хранения и меры защиты, самостоятельно отвечает перед Субъектами и самостоятельно принимает от них обращения по адресу privacy@vernedo.ru. Настоящее поручение к этим данным не применяется.

2.3. В отношении данных, перечисленных в третьей строке таблицы, Vernedo действует исключительно как лицо, осуществляющее обработку персональных данных по поручению оператора. Цели, состав данных и правомерность их получения определяет Заказчик.

2.4. Если Заказчик не вносит в Сервис данные третьих лиц, поручение считается незаключённым и обязательств у Сторон не порождает.

3. Категории субъектов и перечень персональных данных

3.1. Категории Субъектов, данные которых передаются Обработчику по настоящему поручению:

• работники, руководители и иные представители Заказчика, сведения о которых Заказчик вносит в Сервис;
• физические лица, привлечённые Заказчиком в качестве экспертов, авторов, спикеров, комментаторов;
• контактные лица контрагентов Заказчика, сведения о которых Заказчик вносит в Сервис для подготовки материалов.

3.2. Перечень персональных данных, обработка которых поручается:

3.3. Перечень является исчерпывающим. Внесение в Сервис иных категорий персональных данных настоящим поручением не охватывается и осуществляется Заказчиком на его собственный риск.

3.4. Обработчик не запрашивает у Заказчика персональные данные третьих лиц и не определяет их состав. Состав данных полностью определяется действиями Заказчика.

4. Цели обработки

4.1. Обработчик обрабатывает поручённые персональные данные исключительно в следующих целях:

1. подготовка, редактирование, согласование и хранение материалов, создаваемых для Заказчика средствами Сервиса либо с участием специалистов Обработчика;
2. указание в материалах авторства, экспертных мнений и цитат с корректной атрибуцией;
3. организация совместной работы Пользователей Заказчика над проектами и материалами в личном кабинете;
4. размещение материалов на внешних площадках по указанию Заказчика — в объёме сведений, включённых Заказчиком в текст материала;
5. техническое обеспечение работы Сервиса: хранение, резервное копирование, восстановление данных, техническая поддержка Заказчика по его обращениям.

4.2. Обработка поручённых персональных данных в маркетинговых целях Обработчика, для формирования собственных клиентских баз, для передачи третьим лицам в коммерческих целях, а равно для обучения моделей машинного обучения не осуществляется.

5. Перечень разрешённых действий с персональными данными

5.1. Обработчику поручается совершать с персональными данными следующие действия (операции):

5.2. Перечень является исчерпывающим. Обработка осуществляется с использованием средств автоматизации и без использования таких средств.

5.3. Обработчик не совершает с поручёнными персональными данными действий, не предусмотренных настоящим разделом, в том числе не осуществляет их распространение неограниченному кругу лиц по собственной инициативе.

5.4. Обработчик не принимает решений, порождающих юридические последствия в отношении Субъектов, исключительно на основании автоматизированной обработки их персональных данных.

6. Что запрещено передавать по настоящему поручению

6.1. Заказчик не вправе вносить в Сервис и передавать Обработчику:

1. специальные категории персональных данных — сведения, касающиеся расовой и национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни, а также сведения о судимости;
2. биометрические персональные данные — сведения, которые характеризуют физиологические и биологические особенности человека и на основании которых можно установить его личность, если они используются Заказчиком для установления личности;
3. персональные данные лиц, не достигших восемнадцати лет;
4. сведения, составляющие государственную тайну, а также сведения, доступ к которым ограничен федеральным законом, если у Заказчика нет права на их передачу.

6.2. Ограничения раздела установлены Обработчиком осознанно: информационная система Сервиса не проектировалась под обработку перечисленных категорий данных и не обеспечивает требований, предъявляемых законодательством к их обработке.

6.3. Если Заказчик передал такие данные вопреки запрету, ответственность за последствия несёт Заказчик. Обработчик при обнаружении факта передачи вправе заблокировать соответствующие данные и уведомить об этом Заказчика; данные подлежат удалению Заказчиком незамедлительно, а при его бездействии — Обработчиком по истечении десяти рабочих дней с даты уведомления.

6.4. Фотография Субъекта, загруженная для использования в материале, биометрическими персональными данными не является, поскольку не используется для установления личности.

7. Срок действия поручения

7.1. Поручение действует с момента, определённого разделом 12, и до наступления любого из следующих обстоятельств:

• прекращение договора между Заказчиком и Обработчиком по любому основанию;
• удаление Заказчиком всех персональных данных третьих лиц из Сервиса;
• отзыв поручения Заказчиком путём направления уведомления на адрес privacy@vernedo.ru.

7.2. Прекращение поручения не прекращает обязанность Обработчика соблюдать конфиденциальность поручённых персональных данных. Эта обязанность является бессрочной.

7.3. После прекращения поручения Обработчик хранит поручённые персональные данные не более тридцати календарных дней, в течение которых Заказчик вправе потребовать их возврата в машиночитаемом формате. По истечении указанного срока данные уничтожаются в порядке пункта 8.9.

7.4. Из резервных копий данные выбывают по мере плановой ротации копий, в срок, не превышающий двенадцати месяцев. В течение этого срока доступ к резервным копиям ограничен и используется исключительно для восстановления работоспособности Сервиса.

8. Обязанности Обработчика

8.1. Конфиденциальность. Обработчик обязуется не раскрывать третьим лицам и не распространять поручённые персональные данные без согласия Оператора, если иное не предусмотрено федеральным законом. Доступ к данным предоставляется только тем лицам, которым он необходим для исполнения трудовых или договорных обязанностей; такие лица предупреждены о конфиденциальности и подписали обязательство о неразглашении.

8.2. Безопасность. Обработчик обеспечивает безопасность персональных данных при их обработке в соответствии со статьёй 19 Закона и принимает необходимые правовые, организационные и технические меры:

Организационные меры: - утверждены локальные акты, определяющие порядок обработки и защиты персональных данных; - определён круг лиц, допущенных к обработке, ведётся их учёт; - доступ предоставляется в объёме, минимально необходимом для исполнения обязанностей; - осуществляется внутренний контроль соответствия обработки требованиям законодательства; - проведена оценка вреда, который может быть причинён Субъектам, результаты оформлены актом; - оценка эффективности принимаемых мер проводится не реже одного раза в три года.

Технические меры: - передача данных между Пользователем и Сервисом осуществляется по защищённому протоколу с шифрованием; - пароли хранятся исключительно в виде необратимых криптографических преобразований; - доступ к данным разграничен по ролям, каждая операция проверяется на стороне сервера; - ведётся журнал регистрации событий, включая события создания, изменения и уничтожения персональных данных, а также журнал доступа к персональным данным; - выполняется резервное копирование с хранением копий в зашифрованном виде; - применяются меры противодействия автоматизированному подбору учётных данных и несанкционированному доступу.

8.3. Уровень защищённости персональных данных при их обработке в информационной системе Обработчика определён как четвёртый в соответствии с пунктом 12 Требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Соответствие принимаемых мер этому уровню защищённости подтверждается внутренними документами Обработчика, которые предоставляются Заказчику по мотивированному запросу.

8.4. Обращения Субъектов. Обработчик не рассматривает обращения Субъектов, данные которых обработаны по настоящему поручению, по существу. Поступившее обращение Обработчик в течение одного рабочего дня перенаправляет Оператору на указанный им адрес электронной почты и уведомляет Субъекта о том, кто является оператором его персональных данных.

8.5. Уведомление об инцидентах. При выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) поручённых персональных данных Обработчик уведомляет Оператора:

Сроки установлены короче установленных для оператора частью 3.1 статьи 21 Закона (двадцать четыре и семьдесят два часа соответственно) именно для того, чтобы Оператор располагал временем, достаточным для подготовки и направления собственного уведомления в Роскомнадзор. Уведомление направляется на адрес электронной почты Оператора, указанный в личном кабинете, и дублируется в личном кабинете.

8.6. Уведомление об инциденте не является признанием Обработчиком вины и не освобождает Оператора от самостоятельного исполнения обязанностей, установленных частью 3.1 статьи 21 Закона.

8.7. При компьютерных инцидентах, повлёкших неправомерную передачу персональных данных, Обработчик обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак в порядке части 12 статьи 19 Закона.

8.8. Содействие Оператору. Обработчик по мотивированному запросу Оператора и в срок, не превышающий пяти рабочих дней:

• предоставляет сведения о составе обрабатываемых по поручению персональных данных конкретного Субъекта;
• предоставляет выгрузку таких данных в машиночитаемом формате;
• уточняет, блокирует либо уничтожает данные конкретного Субъекта;
• предоставляет сведения о принимаемых мерах защиты в объёме, не создающем угрозы безопасности Сервиса.

Указанные сроки установлены так, чтобы Оператор мог уложиться в сроки ответа Субъекту, установленные частью 3 статьи 14 и частью 3 статьи 20 Закона.

8.9. Возврат и уничтожение. При прекращении поручения Обработчик по выбору Оператора возвращает поручённые персональные данные в машиночитаемом формате либо уничтожает их. При отсутствии указания Оператора в срок, установленный пунктом 7.3, данные уничтожаются. Факт уничтожения подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе; документы хранятся не менее трёх лет и предоставляются Оператору по запросу.

8.10. Обработчик обязан соблюдать принципы и правила обработки персональных данных, предусмотренные Законом.

9. Обязанности Оператора — Заказчика

9.1. Заказчик как оператор персональных данных обязан:

1. Обеспечить наличие правового основания для обработки персональных данных каждого Субъекта, сведения о котором он вносит в Сервис, и для их передачи Обработчику.
2. Получить согласие Субъекта на поручение обработки его персональных данных другому лицу, если такое согласие требуется. Часть 3 статьи 6 Закона допускает поручение обработки другому лицу на основании заключаемого с этим лицом договора с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
3. Уведомить Субъектов об обработке их персональных данных, о целях обработки, о факте передачи данных Обработчику и о наименовании Обработчика.
4. Обеспечить достоверность и актуальность передаваемых данных, а также их относимость к заявленным целям и отсутствие избыточности.
5. Не передавать данные, перечисленные в разделе 6.
6. Самостоятельно рассматривать обращения Субъектов по существу, включая обращения, перенаправленные Обработчиком, и соблюдать установленные Законом сроки ответа.
7. Незамедлительно уведомлять Обработчика об отзыве Субъектом согласия, о поступившем требовании об уничтожении или уточнении данных, а также об утрате правового основания обработки — с тем чтобы Обработчик исполнил соответствующее указание.
8. Выполнять обязанности оператора, установленные статьями 18.1 и 22 Закона, включая публикацию собственной политики обработки персональных данных и подачу уведомления в Роскомнадзор, если такая обязанность к нему применима.

9.2. Заказчик самостоятельно управляет составом Пользователей своей учётной записи и объёмом их прав доступа к персональным данным в Сервисе. Обработчик не контролирует правомерность предоставления доступа конкретным Пользователям.

9.3. Указания Оператора по обработке персональных данных даются в письменной форме на адрес privacy@vernedo.ru либо совершаются действиями в личном кабинете. Обработчик исполняет указание, если оно не противоречит законодательству Российской Федерации; о противоречии Обработчик уведомляет Оператора и приостанавливает исполнение.

10. Привлечение субобработчиков

10.1. Оператор даёт Обработчику общее согласие на привлечение к обработке поручённых персональных данных третьих лиц (субобработчиков) следующих категорий:

10.2. Обработчик обеспечивает, чтобы каждый субобработчик был связан обязательствами, не менее строгими, чем установленные настоящим поручением: обязанностью соблюдать конфиденциальность, обеспечивать безопасность персональных данных в соответствии со статьёй 19 Закона и обрабатывать данные только в объёме, необходимом для оказания соответствующей услуги.

10.3. Перед привлечением субобработчика новой категории, не указанной в пункте 10.1, Обработчик уведомляет Оператора не менее чем за десять календарных дней — по адресу электронной почты и в личном кабинете. В течение этого срока Оператор вправе заявить мотивированное возражение. При наличии возражения, которое Стороны не смогли снять, Оператор вправе отказаться от договора в порядке, предусмотренном Публичной офертой.

10.4. Замена конкретного лица в пределах уже согласованной категории субобработчиков отдельного уведомления не требует. Актуальный перечень категорий раскрывается в Политике обработки персональных данных по адресу vernedo.ru/privacy.

10.5. За действия субобработчиков Обработчик отвечает перед Оператором как за собственные.

11. Ответственность Сторон

11.1. Распределение ответственности перед Субъектом установлено законом и не может быть изменено договором. В силу части 5 статьи 6 Закона:

• перед Субъектом персональных данных за действия Обработчика отвечает Оператор — Заказчик;
• Обработчик отвечает перед Оператором.

11.2. Обработчик возмещает Оператору документально подтверждённый реальный ущерб, причинённый нарушением настоящего поручения, включая суммы административных штрафов и возмещений Субъектам, если нарушение допущено Обработчиком и подтверждено вступившим в силу актом уполномоченного органа или суда.

11.3. Заказчик возмещает Обработчику документально подтверждённый реальный ущерб, причинённый передачей персональных данных при отсутствии правового основания, передачей данных, запрещённых разделом 6, а также предоставлением недостоверных сведений о наличии согласий Субъектов.

11.4. Обработчик не несёт ответственности за содержание материалов, состав внесённых Заказчиком данных, правомерность их получения Заказчиком и за исполнение Заказчиком обязанностей оператора.

11.5. Ответственность Обработчика перед Заказчиком, являющимся индивидуальным предпринимателем или юридическим лицом, ограничена размером вознаграждения, фактически уплаченного Заказчиком за расчётный период, в котором произошло нарушение. К Заказчику, являющемуся потребителем — физическим лицом, приобретающим услуги для личных, семейных, домашних и иных нужд, не связанных с осуществлением предпринимательской деятельности, ограничение, установленное настоящим пунктом, не применяется в силу пункта 4 части 2 статьи 16 Закона Российской Федерации «О защите прав потребителей».

12. Порядок заключения поручения

12.1. Настоящее поручение является неотъемлемой частью договора между Заказчиком и Обработчиком и считается заключённым с наиболее ранней из следующих дат:

• дата акцепта Заказчиком Публичной оферты (vernedo.ru/offer) либо Договора оказания услуг (vernedo.ru/services-agreement);
• дата первого внесения Заказчиком либо его Пользователями в Сервис персональных данных третьих лиц.

12.2. Соблюдение письменной формы обеспечивается размещением настоящего документа по адресу vernedo.ru/dpa и совершением Заказчиком действий, указанных в пункте 12.1.

12.3. По письменному запросу Заказчика Обработчик подписывает поручение в форме отдельного двустороннего документа на бумажном носителе либо в форме электронного документа, подписанного электронной подписью. Содержание такого документа соответствует настоящей редакции. Запрос направляется на адрес privacy@vernedo.ru.

12.4. Отсутствие подписанного на бумаге экземпляра не лишает поручение силы и не освобождает Стороны от обязанностей, им установленных.

13. Заключительные положения

13.1. Обработчик вправе вносить изменения в настоящее поручение. Новая редакция размещается по адресу vernedo.ru/dpa и вступает в силу не ранее чем через десять календарных дней после размещения. Заказчики уведомляются об изменениях по адресу электронной почты.

13.2. Если изменения сокращают объём обязанностей Обработчика либо расширяют перечень поручённых действий, Заказчик вправе отказаться от договора до вступления изменений в силу; в этом случае применяются правила возврата, размещённые по адресу vernedo.ru/refund.

13.3. Недействительность отдельного положения настоящего поручения не влечёт недействительности остальных его положений.

13.4. К отношениям Сторон применяется право Российской Федерации.

13.5. Вопросы, не урегулированные настоящим поручением, разрешаются в соответствии с Публичной офертой (vernedo.ru/offer), Договором оказания услуг (vernedo.ru/services-agreement) и законодательством Российской Федерации.

13.6. Обращения по настоящему поручению направляются на адрес privacy@vernedo.ru.

Реквизиты Обработчика

Индивидуальный предприниматель Нефёдкина Елена Анатольевна

ОГРНИП: 326527500044808 ИНН: 525807157358 Адрес: 607611, Нижегородская область, Богородский район, тер. КП Бурцево, ул. Тополиная, д. 4 Расчётный счёт: 40802810700009476763 Банк: АО «ТБанк», БИК 044525974, к/с 30101810145250000974 Телефон: +7 965 396-29-76 Электронная почта: support@vernedo.ru Электронная почта по вопросам обработки персональных данных: privacy@vernedo.ru Сайт: vernedo.ru · Личный кабинет: os.vernedo.ru Налоговый режим: упрощённая система налогообложения, НДС не облагается