Поручение на обработку персональных данных

Приложение № 1 к Лицензионному договору-оферте. Настоящее Поручение определяет условия, на которых Insys обрабатывает персональные данные по поручению компании-клиента, и выдается в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Стороны и правовая природа поручения

1.1. Настоящее Поручение является неотъемлемой частью Лицензионного договора-оферты (далее — Договор).

1.2. Оператор — Лицензиат по Договору. Оператор определяет цели и состав персональных данных, вносимых в Платформу, и несет ответственность перед субъектами персональных данных.

1.3. Обработчик — ООО «Инжиниринг Системс» (Лицензиар по Договору), осуществляющее обработку персональных данных по поручению Оператора и исключительно в пределах, установленных настоящим Поручением.

1.4. Обработчик не определяет цели обработки данных, вносимых Оператором, и не использует их в собственных целях, в том числе для обучения моделей машинного обучения, маркетинга или передачи третьим лицам, кроме случаев, прямо предусмотренных настоящим Поручением или законом.

1.5. Согласие субъекта на обработку персональных данных Обработчиком не требуется: основанием обработки является поручение Оператора (ч. 3 ст. 6 152-ФЗ). Получение согласий субъектов либо наличие иного законного основания обеспечивает Оператор (раздел 8).

2. Цель, действия и способы обработки

2.1. Цель обработки — обеспечение функционирования Платформы для Оператора: учет объектов и оборудования, прием и ведение заявок, планирование и учет технического обслуживания, коммуникация работников, формирование отчетности и документов, работа ИИ-ассистента и связанных функций в объеме подключенных модулей.

2.2. Перечень действий, поручаемых Обработчику: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в пределах раздела 5, обезличивание, блокирование, удаление, уничтожение.

2.3. Способы обработки: автоматизированная и смешанная обработка с использованием средств вычислительной техники.

2.4. Обработчик не осуществляет сбор персональных данных непосредственно у субъектов по настоящему Поручению: данные поступают в Платформу от Оператора и его работников.

2.5. Обработчик не принимает решений, порождающих юридические последствия в отношении субъектов, на основании исключительно автоматизированной обработки (ст. 16 152-ФЗ). Функции ИИ-ассистента носят вспомогательный характер: подготовленные им сведения и предложения подлежат проверке работником Оператора.

3. Категории субъектов и персональных данных

3.1. Категории субъектов персональных данных:

• Работники Оператора — сотрудники, имеющие учетные записи в Платформе (диспетчеры, мастера, руководители).
• Контактные лица контрагентов Оператора — представители управляющих организаций, ТСЖ и иных заказчиков Оператора.
• Заявители — граждане, обратившиеся с заявкой или иным обращением, сведения о которых внесены в Платформу.

3.2. Категории персональных данных:

• Учетные данные работников: фамилия, имя, отчество, адрес электронной почты, номер телефона, логин, изображение профиля, должность и роль, табельный код, сведения о квалификации и навыках, сведения о сменах и графике работы.
• Данные контактных лиц контрагентов: фамилия, имя, отчество, должность, номер телефона, адрес электронной почты, наименование организации.
• Данные заявителей: фамилия, имя, отчество в объеме, указанном при обращении, номер телефона, адрес объекта и помещения, содержание обращения.
• Данные, возникающие в ходе работы: содержание переписки в чате и вложения, фото- и видеоматериалы отчетов о выполненных работах, записи телефонных разговоров диспетчерской службы и текстовые расшифровки таких записей, сведения о выполненных работах.
• Технические данные: журналы обращений к серверу, сведения об устройстве и версии приложения, идентификаторы сессий, токены push-уведомлений.

3.3. Специальные категории персональных данных (ст. 10 152-ФЗ) по настоящему Поручению не обрабатываются. Внесение таких данных в Платформу Оператором не допускается.

3.4. Биометрические персональные данные (ст. 11 152-ФЗ) не обрабатываются. Записи голоса, содержащиеся в записях телефонных разговоров, и фотоизображения в отчетах о работах не используются Обработчиком для установления личности субъекта и по этой причине не являются биометрическими персональными данными в смысле ст. 11 152-ФЗ. Обработчик не осуществляет идентификацию по голосу или изображению.

3.5. Сведения о местоположении. Определение местоположения выполняется на устройстве работника и используется для расчета расстояния до объектов и отображения на карте. Координаты устройства на серверы Обработчика не передаются.

4. Требования к защите персональных данных

4.1. Обработчик обязан соблюдать принципы и правила обработки, предусмотренные 152-ФЗ, обеспечивать конфиденциальность персональных данных (ст. 7) и безопасность данных при их обработке (ст. 19).

4.2. Организационные меры:

• назначение лица, ответственного за организацию обработки персональных данных (ст. 22.1 152-ФЗ);
• утвержденные локальные акты о порядке обработки и защиты персональных данных;
• допуск работников к данным по принципу минимально необходимых полномочий, с оформлением обязательства о неразглашении;
• регистрация и учет действий, совершаемых с данными в служебных интерфейсах.

4.3. Технические меры, реализованные в Платформе:

• изоляция данных каждой компании в отдельной схеме базы данных;
• разграничение доступа на основе ролей и прав, с проверкой на стороне сервера;
• шифрование содержимого чата при хранении (AES-256-GCM, отдельный ключ на компанию). Шифрование не является сквозным (end-to-end): ключ находится у Обработчика, что необходимо для работы веб-клиента, предпросмотра уведомлений и поиска;
• передача данных по защищенным каналам (TLS);
• журналирование действий и событий безопасности;
• резервное копирование с ограничением доступа к копиям.

4.4. Локализация. Базы данных, содержащие персональные данные граждан Российской Федерации, размещаются на серверах, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

4.5. Обработчик обязуется по требованию Оператора предоставлять сведения, необходимые для подтверждения соблюдения настоящего раздела, не раскрывая при этом сведения о других клиентах и сведения, раскрытие которых снижает защищенность Платформы.

5. Привлечение третьих лиц и трансграничная передача

5.1. Оператор дает Обработчику общее согласие на привлечение третьих лиц (субобработчиков) для целей, указанных в разделе 2, при условии возложения на них обязанностей, не менее строгих, чем предусмотренные настоящим Поручением. Обработчик остается ответственным перед Оператором за действия привлеченных лиц.

5.2. Субобработчики, привлекаемые на дату настоящей редакции:

• Провайдер хостинга и вычислительных мощностей (Россия) — размещение серверов и баз данных.
• Провайдер объектного хранилища (Россия) — хранение файлов, вложений и записей звонков.
• Яндекс AI Studio (Россия) — обработка запросов ИИ-ассистента, распознавание и синтез речи.
• Провайдер SMS-рассылок (Россия) — доставка кодов подтверждения и уведомлений.
• Провайдер электронной почты (Россия) — доставка служебных писем.

5.3. Об изменении перечня субобработчиков Обработчик уведомляет Оператора не менее чем за 30 (тридцать) календарных дней путем публикации новой редакции настоящего Поручения. Оператор, возражающий против привлечения нового субобработчика, вправе отказаться от Договора до вступления изменения в силу.

5.4. Трансграничная передача. Единственный случай трансграничной передачи персональных данных — доставка push-уведомлений на мобильные устройства через Apple Push Notification service (Apple, США) и Firebase Cloud Messaging (Google, США). Передается минимальный объем данных, необходимый для доставки: технический токен устройства и текст предпросмотра уведомления. Иная трансграничная передача не осуществляется.

5.5. Оператор уведомлен, что трансграничная передача, указанная в п. 5.4, осуществляется в государства, не обеспечивающие адекватной защиты прав субъектов персональных данных, и требует соблюдения ст. 12 152-ФЗ. Оператор вправе отключить push-уведомления для своей компании; в этом случае передача по п. 5.4 не производится.

5.6. Речевые функции в веб-браузере. Распознавание речи в веб-интерфейсе может выполняться средствами браузера пользователя (Web Speech API). В этом случае аудио обрабатывается по правилам поставщика браузера и вне контура Обработчика; данная обработка не входит в предмет настоящего Поручения.

5.7. Интеграции по указанию Оператора. При подключении Оператором интеграций (1С, Bitrix24, иные информационные системы) передача данных в такие системы осуществляется по указанию Оператора и под его ответственность.

6. Срок обработки, возврат и уничтожение данных

6.1. Обработка осуществляется в течение срока действия Договора.

6.2. При прекращении Договора Оператор вправе в течение 30 (тридцати) календарных дней с даты прекращения получить выгрузку данных своей компании в машиночитаемом виде средствами Платформы.

6.3. По истечении срока, указанного в п. 6.2, либо по письменному требованию Оператора Обработчик прекращает обработку и уничтожает персональные данные, включая содержимое базы данных компании и связанные файлы, за исключением сведений, хранение которых обязательно в силу закона.

6.4. Уничтожение подтверждается актом (сертификатом) об уничтожении, направляемым Оператору по его требованию. Процедура уничтожения требует подтверждения двумя уполномоченными работниками Обработчика.

6.5. Приостановка доступа к Платформе в связи с неоплатой (п. 9.4 Договора) не является основанием для уничтожения данных.

7. Инциденты и содействие Оператору

7.1. Обработчик обязан уведомить Оператора о выявленном факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных без неоправданной задержки, но не позднее 24 (двадцати четырех) часов с момента выявления такого факта.

7.2. Срок по п. 7.1 установлен с учетом того, что Оператор обязан уведомить Роскомнадзор о таком факте в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

7.3. Уведомление должно содержать: описание инцидента, предполагаемые категории и объем затронутых данных, предполагаемые причины, принятые и планируемые меры, контакт ответственного лица.

7.4. Обработчик оказывает Оператору разумное содействие:

• в подготовке ответов на обращения субъектов персональных данных;
• в предоставлении сведений, необходимых для ответа на запросы уполномоченных органов;
• в проведении оценки вреда и внутреннего расследования по инциденту.

7.5. Запросы субъектов персональных данных, поступившие Обработчику напрямую в отношении данных, внесенных Оператором, перенаправляются Оператору и самостоятельно Обработчиком не исполняются. Контакт для таких обращений: privacy@insysit.com.

8. Обязанности и заверения Оператора

8.1. Оператор заверяет и гарантирует, что:

• имеет законное основание для обработки персональных данных, вносимых в Платформу, включая получение согласий субъектов там, где они требуются;
• уведомил Роскомнадзор об обработке персональных данных в порядке ст. 22 152-ФЗ либо подпадает под исключение;
• опубликовал документ, определяющий его политику в отношении обработки персональных данных (ч. 2 ст. 18.1 152-ФЗ), и обеспечил доступ к нему;
• довел до сведения субъектов информацию об обработке, требуемую ст. 18 152-ФЗ, включая сведения о привлечении Обработчика;
• не вносит в Платформу специальные категории и биометрические персональные данные, а также сведения, составляющие государственную тайну.

8.2. Оператор самостоятельно определяет состав данных, вносимых в Платформу, и обязуется руководствоваться принципом минимизации: обрабатывать только те данные, которые необходимы для заявленных целей.

8.3. Оператор самостоятельно управляет правами доступа своих работников и несет ответственность за корректность их настройки.

9. Ответственность

9.1. В соответствии с ч. 5 ст. 6 152-ФЗ ответственность перед субъектом персональных данных за действия Обработчика несет Оператор. Обработчик несет ответственность перед Оператором за нарушение настоящего Поручения.

9.2. Ограничение размера ответственности, установленное разделом 10 Договора, применяется и к настоящему Поручению, за исключением случаев, когда законом ограничение ответственности не допускается.

9.3. Оператор возмещает Обработчику документально подтвержденные убытки, возникшие вследствие недостоверности заверений, данных в разделе 8.

10. Заключительные положения

10.1. Настоящее Поручение вступает в силу одновременно с Договором и действует в течение срока обработки, определенного разделом 6.

10.2. Изменения вносятся в порядке, установленном разделом 11 Договора. Предыдущие редакции сохраняются в Архиве редакций.

10.3. В части, не урегулированной настоящим Поручением, применяются условия Договора и законодательство Российской Федерации.

По вопросам об этом документе напишите нам на privacy@insysit.com.