Договор поручения на обработку персональных данных

Настоящий документ является неотъемлемой частью Оферты для специалистов и определяет условия обработки ООО «Реэйдж» (далее — Обработчик) персональных данных клиентов по поручению специалиста (далее — Оператор) в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Стороны и роли

1.1. Оператором персональных данных клиентов является Специалист: он определяет цели и состав обрабатываемых данных, взаимодействует с клиентом и получает от него согласия.

1.2. Обработчиком является Платформа Consilium: она обрабатывает данные исключительно по поручению и в интересах Оператора.

1.3. Обработчик не определяет цели обработки и не использует данные клиентов в собственных целях, за исключением обезличенной статистики работоспособности сервиса.

2. Поручение на обработку

2.1. Оператор поручает Обработчику совершать следующие действия с персональными данными клиентов: сбор через интерфейс, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу привлечённым подрядчикам, обезличивание, блокирование, удаление и уничтожение.

2.2. Обработка осуществляется в целях функционирования рабочего пространства Оператора: ведения карточек клиентов, хранения анализов и обследований, расчёта показателей, формирования отчётов, планов питания, назначений и журнала взаимодействий.

2.3. Обрабатываются в том числе специальные категории персональных данных (сведения о состоянии здоровья) при наличии согласия субъекта, полученного Оператором.

2.4. Срок обработки — период действия Подписки Оператора и период хранения, предусмотренный п. 7.

3. Обязанности Обработчика

3.1. Обработчик обязуется:

• соблюдать конфиденциальность персональных данных и требования к их безопасности;
• обрабатывать данные только в объёме и в целях, указанных в настоящем поручении;
• применять правовые, организационные и технические меры защиты, предусмотренные ст. 19 Федерального закона № 152-ФЗ;
• обеспечивать разграничение доступа: данные одного Оператора недоступны другим Операторам;
• ограничивать доступ сотрудников к данным принципом минимальной необходимости;
• вести учёт привлечённых подрядчиков и обеспечивать их обязательства по конфиденциальности;
• содействовать Оператору в ответах на обращения субъектов и запросы уполномоченных органов;
• уведомлять Оператора об инцидентах безопасности без неоправданной задержки.

3.2. Обработчик не раскрывает данные третьим лицам, кроме случаев, предусмотренных настоящим документом и законодательством.

4. Обязанности Оператора

4.1. Оператор обязуется:

• получать от клиентов согласия на обработку персональных данных и специальных категорий данных;
• информировать клиентов о привлечении Обработчика;
• загружать только те данные, для обработки которых у него есть законные основания;
• поддерживать актуальность и точность данных;
• самостоятельно отвечать на обращения субъектов персональных данных;
• не использовать Платформу для целей, противоречащих законодательству.

5. Привлечение подрядчиков

5.1. Оператор даёт общее согласие на привлечение Обработчиком подрядчиков для хостинга, хранения файлов, отправки электронной почты и предоставления моделей искусственного интеллекта.

5.2. Обработчик обеспечивает, чтобы подрядчики принимали на себя обязательства по конфиденциальности и безопасности не ниже предусмотренных настоящим документом.

5.3. Обработчик несёт перед Оператором ответственность за действия привлечённых подрядчиков.

6. Локализация и трансграничная передача

6.1. Базы персональных данных граждан Российской Федерации размещаются на серверах, расположенных на территории Российской Федерации.

6.2. Отдельные вспомогательные операции (в частности, обработка запросов моделями искусственного интеллекта) могут выполняться с использованием инфраструктуры за пределами Российской Федерации. В этом случае Обработчик принимает меры по минимизации передаваемых сведений, включая исключение прямых идентификаторов клиента, и обеспечивает соблюдение требований ст. 12 Федерального закона № 152-ФЗ.

6.3. Оператор информирует клиентов о возможности такой обработки при получении согласия.

7. Возврат и удаление данных

7.1. По требованию Оператора Обработчик предоставляет выгрузку данных клиентов в машиночитаемом формате.

7.2. При прекращении Подписки данные хранятся 30 календарных дней для выгрузки, после чего удаляются или обезличиваются.

7.3. Обработчик удаляет данные конкретного клиента по поручению Оператора в срок не более 30 календарных дней, если иное не предусмотрено законодательством.

7.4. Резервные копии удаляются в соответствии с установленным циклом ротации.

8. Ответственность

8.1. Каждая сторона несёт ответственность за нарушение требований законодательства о персональных данных в пределах своей роли и совершённых действий.

8.2. Обработчик отвечает перед Оператором за ущерб, причинённый обработкой данных с нарушением настоящего поручения.

8.3. Оператор отвечает за отсутствие законных оснований обработки и за содержание загружаемых данных.

Вопросы по обработке данных: team@myconsilium.ru.