Приложение № 3 к Публичной оферте FootLab Plugin

СОГЛАШЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПО ПОРУЧЕНИЮ

(заключается в порядке части 3 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»)

Редакция от 4 августа 2026 года

Настоящее Соглашение об обработке персональных данных по поручению (далее — «Соглашение») является неотъемлемой частью Публичной оферты на заключение лицензионного договора и оказание сопутствующих услуг по предоставлению доступа к программному обеспечению «FootLab Plugin» (далее — «Оферта») и регулирует отношения Сторон в связи с обработкой персональных данных Клиентов Пользователя.

Стороны Соглашения:

• «Оператор» — Пользователь Сервиса, заключивший с Лицензиаром Оферту в установленном ею порядке, выступающий оператором персональных данных Клиентов Пользователя в значении пункта 2 статьи 3 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ»);

• «Обработчик» — Индивидуальный предприниматель Конкин Дмитрий Владимирович, ИНН 504014203570, ОГРНИП 322508100576394, выступающий в качестве лица, осуществляющего обработку персональных данных по поручению Оператора в значении части 3 статьи 6 Закона № 152-ФЗ.

Совместно — «Стороны», по отдельности — «Сторона».

Термины, используемые в настоящем Соглашении, имеют значения, установленные Законом № 152-ФЗ и Офертой, если иное прямо не предусмотрено настоящим Соглашением. Во всех документах пакета (Оферта, Политика конфиденциальности, настоящее Соглашение) термин «Оператор» обозначает Пользователя Сервиса; Лицензиар обозначается словами «Обработчик», «Лицензиар» или «Компания».

1. ПРЕДМЕТ СОГЛАШЕНИЯ

1.1. Оператор поручает, а Обработчик обязуется осуществлять обработку персональных данных Клиентов Пользователя (далее — «Субъекты ПДн») в пределах и в соответствии с условиями настоящего Соглашения, исключительно для целей оказания Оператору Услуг по Оферте.

1.2. Обработчик обязуется обрабатывать персональные данные Субъектов ПДн строго в пределах поручения Оператора и не использовать указанные данные для собственных целей, целей третьих лиц, маркетинговых, рекламных или иных целей, прямо не предусмотренных настоящим Соглашением.

1.3. Заключение настоящего Соглашения не означает передачу Обработчику прав Оператора в отношении персональных данных Субъектов ПДн. Оператор сохраняет за собой все права и обязанности оператора персональных данных, предусмотренные Законом № 152-ФЗ.

1.4. Обработчик не является самостоятельным оператором персональных данных Субъектов ПДн в значении Закона № 152-ФЗ и не определяет цели и способы обработки указанных данных самостоятельно.

2. ОСНОВАНИЯ И УСЛОВИЯ ОБРАБОТКИ

2.1. Обработка персональных данных Субъектов ПДн осуществляется на основании:

• 2.1.1. поручения Оператора, выраженного в форме настоящего Соглашения, акцептованного Оператором в составе Оферты;
• 2.1.2. согласия Субъектов ПДн на обработку их персональных данных, полученного Оператором в установленном Законом № 152-ФЗ порядке;
• 2.1.3. иных правовых оснований, предусмотренных статьями 6, 9, 10, 11 Закона № 152-ФЗ, наличие которых обеспечивает Оператор.

2.2. Оператор гарантирует, что:

• 2.2.1. им получены все необходимые согласия Субъектов ПДн на обработку их персональных данных, включая привлечение Обработчика к такой обработке;
• 2.2.2. содержание полученных согласий соответствует требованиям статьи 9 Закона № 152-ФЗ и охватывает все цели, способы, объём, категории и сроки обработки, предусмотренные настоящим Соглашением;
• 2.2.3. Субъекты ПДн надлежащим образом проинформированы об осуществлении обработки их персональных данных, в том числе об участии Обработчика;
• 2.2.4. передача персональных данных Субъектов ПДн Обработчику не нарушает прав Субъектов ПДн и требований применимого законодательства;
• 2.2.5. у Оператора имеются правовые основания и права доступа, позволяющие Обработчику получать данные Субъектов ПДн из учётной записи Оператора в системе «YCLIENTS» в порядке, предусмотренном пунктами 6.5–6.8 настоящего Соглашения.

2.3. Обработчик не несёт ответственности перед Субъектами ПДн или третьими лицами в случае, если ущерб, причинённый обработкой персональных данных, вызван нарушением Оператором гарантий, предусмотренных пунктом 2.2 настоящего Соглашения. Указанная ответственность лежит на Операторе.

3. ЦЕЛИ ОБРАБОТКИ

3.1. Обработка персональных данных Субъектов ПДн осуществляется Обработчиком исключительно в следующих целях:

3.2. Обработка персональных данных Субъектов ПДн в иных целях, в том числе в маркетинговых, рекламных, аналитических целях Обработчика или третьих лиц, не допускается.

3.3. Обработчик не принимает решений, порождающих юридические последствия в отношении Субъектов ПДн или иным образом затрагивающих их права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.

4. ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. В рамках исполнения настоящего Соглашения Обработчик осуществляет обработку следующих категорий персональных данных Субъектов ПДн:

4.1.1. Идентификационные данные

• фамилия, имя, отчество (при наличии);
• дата рождения (при предоставлении Оператором);
• пол (при предоставлении Оператором).

4.1.2. Контактные данные

• номер мобильного телефона;
• адрес электронной почты (при предоставлении);
• адрес (при предоставлении Оператором);
• иные контактные данные, переданные Оператором.

4.1.3. Сведения о посещениях и оказанных услугах

• дата и время визита;
• перечень оказанных услуг (в наименованиях, установленных Оператором в его учётной системе);
• сведения о Сотруднике Пользователя, оказавшем услугу;
• стоимость оказанных услуг.

4.1.4. Сведения, размещаемые Сотрудниками Пользователя в карте приёма

• текстовые описания состояния стоп, ногтей и кожи;
• метки на интерактивной карте стопы и карте ногтей;
• сведения об использованных материалах и применённых процедурах;
• рекомендации Сотрудника Пользователя по последующему уходу;
• иные сведения, размещаемые Сотрудниками Пользователя в рамках функциональности Сервиса.

4.1.5. Изображения

• фотографические изображения стоп и ногтей Субъекта ПДн, выполненные Сотрудниками Пользователя в процессе оказания услуг и размещённые в Сервисе;
• миниатюры (уменьшенные копии) указанных изображений.

4.1.6. Сведения, предоставленные Субъектом ПДн в опросном листе

• сведения об особенностях состояния здоровья, имеющих значение для безопасного оказания услуг (хронические заболевания, аллергические реакции, противопоказания), — при условии получения Оператором отдельного согласия в соответствии со статьями 9 и 10 Закона № 152-ФЗ;
• сведения о принимаемых медикаментах (если относятся к противопоказаниям);
• иные сведения, предоставленные Субъектом ПДн добровольно в опросном листе.

4.2. Стороны исходят из того, что сведения, указанные в пунктах 4.1.4, 4.1.5 и 4.1.6 настоящего Соглашения, могут относиться к специальным категориям персональных данных (сведения, касающиеся состояния здоровья) в значении статьи 10 Закона № 152-ФЗ. Квалификация таких сведений определяется их существом, а не выбранной терминологией: использование Сотрудниками Пользователя описательных, не диагностических формулировок само по себе не выводит сведения из-под действия статьи 10 Закона № 152-ФЗ. Обработчик обеспечивает в отношении этих сведений режим защиты, установленный настоящим Соглашением, независимо от их итоговой квалификации.

4.3. Оператор обязуется обеспечить получение отдельных согласий Субъектов ПДн на обработку специальных категорий персональных данных и биометрических персональных данных в случаях и в форме, предусмотренных Законом № 152-ФЗ. Обработчик вправе осуществлять обработку указанных категорий данных исключительно при условии подтверждения Оператором наличия таких согласий.

4.4. Обработка биометрических персональных данных в значении части 1 статьи 11 Закона № 152-ФЗ осуществляется в соответствии с особенностями, установленными указанной статьёй и подзаконными актами, при наличии у Оператора надлежащим образом оформленного согласия Субъекта ПДн.

4.4.1. Обработчик не осуществляет идентификацию Субъектов ПДн по изображениям стоп и ногтей, не создаёт биометрические шаблоны, не применяет технологии распознавания личности и не использует такие изображения для установления личности. При соблюдении данного условия изображения не обрабатываются как биометрические персональные данные.

4.5. Перечень обрабатываемых персональных данных может быть расширен или сокращён по согласованию Сторон путём внесения изменений в настоящее Соглашение в порядке, установленном Офертой.

5. ПЕРЕЧЕНЬ ДЕЙСТВИЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ

5.1. В рамках исполнения настоящего Соглашения Обработчик осуществляет следующие действия (операции) с персональными данными Субъектов ПДн:

• сбор (получение от Оператора через интерфейсы Сервиса и интеграцию с системой «YCLIENTS»);
• запись и систематизация;
• накопление и хранение;
• уточнение (обновление, изменение);
• извлечение и использование (в пределах целей, установленных разделом 3);
• передача (предоставление, доступ) — исключительно лицам, имеющим право доступа в соответствии с разделом 8 настоящего Соглашения;
• блокирование;
• удаление и уничтожение.

5.2. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без использования таких средств.

5.3. Обработчик не осуществляет следующих действий с персональными данными Субъектов ПДн:

• 5.3.1. распространение (раскрытие неопределённому кругу лиц);
• 5.3.2. передача третьим лицам, за исключением лиц, указанных в разделе 8 настоящего Соглашения;
• 5.3.3. трансграничная передача (передача за пределы Российской Федерации);
• 5.3.4. использование для целей, не предусмотренных настоящим Соглашением, в том числе для маркетинговых и рекламных целей;
• 5.3.5. использование персональных данных Субъектов ПДн для обучения, дообучения, тестирования, валидации, настройки или улучшения моделей искусственного интеллекта, алгоритмов машинного обучения, рекомендательных и иных автоматизированных систем, если иное не оформлено отдельным письменным соглашением Сторон и отдельными согласиями Субъектов ПДн, когда такие согласия требуются законом.

5.4. Автоматическая генерация текста. В редакции Сервиса, предоставляемой Оператору по настоящему Соглашению, функциональность автоматической генерации черновиков текстов с привлечением внешних языковых моделей отключена, и обращения к внешним сервисам обработки текста не производятся. Её включение возможно исключительно на основании отдельного письменного соглашения Сторон, которым определяются состав передаваемых сведений, порядок их обезличивания, место обработки и необходимые согласия Субъектов ПДн. До заключения такого соглашения любое использование данных Субъектов ПДн для указанных целей не допускается.

6. МЕСТО ОБРАБОТКИ, ХРАНЕНИЯ И ИСТОЧНИКИ ПОЛУЧЕНИЯ ДАННЫХ

6.1. Обработка и хранение персональных данных Субъектов ПДн осуществляются исключительно на территории Российской Федерации, в соответствии с требованиями части 5 статьи 18 Закона № 152-ФЗ.

6.2. Для целей хранения и обработки данных Субъектов ПДн Обработчик использует инфраструктуру, размещённую в дата-центрах, расположенных на территории Российской Федерации:

6.2.1. Иные поставщики услуг, привлекаемые Обработчиком (сервис рассылки уведомлений, платёжный сервис «ЮKassa» (НКО «ЮMoney»), осуществляющий приём платежей и формирование кассовых чеков), обрабатывают данные Оператора и его Сотрудников, связанные с подпиской и уведомлениями, и не получают доступа к персональным данным Субъектов ПДн. Их перечень приведён в Политике конфиденциальности (Приложение № 2 к Оферте).

6.3. Перечень привлечённых поставщиков услуг (субподрядчиков) указан в Политике конфиденциальности. Лицензиар вправе изменять перечень субподрядчиков с обязательным размещением актуального перечня в Политике конфиденциальности и уведомлением Операторов в порядке пункта 8.4 настоящего Соглашения.

6.4. Привлекаемые субподрядчики обеспечивают уровень защиты персональных данных не ниже уровня, установленного настоящим Соглашением. С каждым из субподрядчиков заключены соответствующие договоры, предусматривающие обязанность обеспечения конфиденциальности и безопасности персональных данных.

Получение данных из системы «YCLIENTS»

6.5. Направление обмена. Сервис встраивается в интерфейс системы «YCLIENTS» и получает часть данных Субъектов ПДн из учётной записи Оператора в этой системе. Обмен является односторонним: Сервис получает данные из «YCLIENTS» и не записывает данные Субъектов ПДн обратно в «YCLIENTS».

6.6. Объём получаемых данных. Из учётной записи Оператора в «YCLIENTS» Сервис получает:

• сведения карточки Клиента: фамилия, имя, отчество, номер телефона, адрес электронной почты, дата рождения, адрес — в том объёме, в котором они заполнены Оператором;
• сведения о конкретной записи на приём (дата, время, услуга, сотрудник);
• справочники салона: перечень услуг, перечень товаров, список сотрудников.

6.7. Ограничение объёма (что не переносится). Запросы к «YCLIENTS» выполняются точечно — по идентификатору Клиента и записи, открытых Сотрудником Оператора в интерфейсе Сервиса. Выгрузка клиентской базы Оператора целиком не производится. В информационных системах Обработчика не сохраняются: сведения о расчётах, выручке и финансовых операциях Оператора, данные о клиентах, карточки которых не открывались в Сервисе, а также любые сведения, не относящиеся к ведению карты приёма.

6.8. Правовые основания доступа. Доступ Обработчика к данным в «YCLIENTS» осуществляется на основании поручения Оператора и в пределах прав доступа, предоставленных Оператором. Правовой режим отношений Оператора с «YCLIENTS» определяется договором Оператора с этой системой; Оператор обеспечивает, чтобы предоставление Обработчику доступа к данным не нарушало условий указанного договора и прав Субъектов ПДн. Обработчик не вступает в самостоятельные отношения с Субъектами ПДн в связи с получением данных из «YCLIENTS».

7. ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ ЗАЩИТЫ

7.1. Обработчик обеспечивает защиту персональных данных Субъектов ПДн в соответствии с требованиями статьи 19 Закона № 152-ФЗ и Постановления Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

7.2. Технические меры, применяемые в настоящее время:

• 7.2.1. шифрование передаваемых данных по каналам связи с использованием криптографических протоколов TLS версии 1.2 и выше; принудительное перенаправление обращений на защищённое соединение и применение механизма HSTS;
• 7.2.2. разграничение прав доступа на основании ролей пользователей (role-based access control);
• 7.2.3. логическая изоляция данных разных Операторов: каждый запрос к данным выполняется в границах салона, к которому относится сессия Сотрудника, и данные другого Оператора через Сервис недоступны;
• 7.2.4. ограничение доступа к файлам изображений: изображения хранятся в объектном хранилище без публичного доступа и выдаются исключительно по ссылкам с ограниченным сроком действия, формируемым для конкретного авторизованного обращения;
• 7.2.5. ведение журнала событий доступа к данным Субъектов ПДн (дата и время, идентификатор сотрудника, объект обращения, IP-адрес, результат обращения — успех либо отказ);
• 7.2.6. регулярное, не реже одного раза в сутки, резервное копирование базы данных с хранением копий в объектном хранилище на территории Российской Федерации в течение тридцати календарных дней;
• 7.2.7. проверка входящих данных на стороне сервера, ограничение объёма и типов загружаемых файлов;
• 7.2.8. хранение реквизитов доступа к инфраструктуре и внешним сервисам вне исходного кода — в защищённых конфигурационных файлах на стороне сервера, с ограничением круга лиц, имеющих к ним доступ;
• 7.2.9. регулярное обновление программного обеспечения и устранение известных уязвимостей.

7.3. Организационные меры, применяемые в настоящее время:

• 7.3.1. ограничение круга лиц, имеющих доступ к персональным данным и к производственной инфраструктуре, минимально необходимым количеством лиц;
• 7.3.2. возложение на лиц, допущенных к обработке, обязанности соблюдать конфиденциальность персональных данных;
• 7.3.3. порядок реагирования на инциденты информационной безопасности, установленный разделом 11 настоящего Соглашения.

7.4. Меры, находящиеся во внедрении. Обработчик прямо уведомляет Оператора, что перечисленные ниже меры на дату настоящей редакции не применяются и внедряются в плановом порядке; Обработчик не заявляет о них как о действующих и не принимает на себя обязательств, основанных на их наличии, до момента их фактического внедрения и соответствующего изменения настоящего Соглашения:

• 7.4.1. утверждение модели угроз безопасности персональных данных и определение уровня защищённости информационной системы персональных данных;
• 7.4.2. шифрование персональных данных при хранении (encryption at rest) в базе данных и объектном хранилище;
• 7.4.3. многофакторная аутентификация для административного доступа к инфраструктуре;
• 7.4.4. средства обнаружения и предотвращения вторжений, централизованный мониторинг событий безопасности;
• 7.4.5. утверждение внутренних организационно-распорядительных документов о защите персональных данных (политика обработки, инструкции, перечень допущенных лиц) и ознакомление с ними лиц, допущенных к обработке;
• 7.4.6. назначение приказом лица, ответственного за организацию обработки персональных данных.

7.5. Обязательство по срокам внедрения. Меры, предусмотренные пунктами 7.4.1, 7.4.5 и 7.4.6, внедряются Обработчиком до начала обработки персональных данных Субъектов ПДн первого Оператора, не аффилированного с Обработчиком. Сведения о фактически применяемых мерах отражаются в актуальной редакции настоящего Соглашения и предоставляются Оператору по его запросу в порядке пункта 9.1.6.

7.6. Применяемые меры защиты пересматриваются и совершенствуются с учётом изменений нормативных требований, появления новых угроз и развития средств защиты, но не реже одного раза в год.

7.7. Уровень защищённости информационной системы персональных данных Обработчика определяется на основании модели угроз в соответствии с Постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119 (с учётом обработки специальных категорий персональных данных и типа актуальных угроз). До утверждения модели угроз конкретный уровень в настоящем Соглашении не фиксируется.

8. ПРИВЛЕЧЕНИЕ ТРЕТЬИХ ЛИЦ К ОБРАБОТКЕ

8.1. Обработчик вправе привлекать третьих лиц (субподрядчиков) к обработке персональных данных Субъектов ПДн исключительно для целей оказания услуг хостинга, хранения данных и обеспечения работоспособности Сервиса.

8.2. Привлечение третьих лиц осуществляется на следующих условиях:

• 8.2.1. с каждым субподрядчиком заключается договор, предусматривающий обязанность субподрядчика соблюдать требования законодательства Российской Федерации о персональных данных и обеспечивать уровень защиты не ниже уровня, установленного настоящим Соглашением;
• 8.2.2. субподрядчики обрабатывают персональные данные исключительно в пределах поручения Обработчика и в целях, предусмотренных настоящим Соглашением;
• 8.2.3. Обработчик несёт перед Оператором ответственность за действия (бездействие) привлечённых субподрядчиков как за свои собственные.

8.3. Перечень привлечённых субподрядчиков, действующий на дату акцепта Оферты Оператором, приведён в пункте 6.2 настоящего Соглашения и в Политике конфиденциальности (Приложение № 2 к Оферте).

8.4. Обработчик уведомляет Операторов о привлечении новых субподрядчиков либо о замене ранее привлечённых субподрядчиков путём актуализации перечня в Политике конфиденциальности и направления уведомления через Личный кабинет либо электронной почтой. Уведомление направляется не позднее чем за тридцать календарных дней до начала обработки персональных данных новым субподрядчиком.

8.5. Оператор, не согласный с привлечением нового субподрядчика, вправе расторгнуть Оферту в порядке, предусмотренном Офертой, в течение тридцати календарных дней с момента получения уведомления. В этом случае Лицензиар возвращает Оператору часть платы за оплаченный, но неиспользованный период подписки в порядке, предусмотренном Офертой.

8.6. Привлечение третьих лиц, осуществляющих обработку персональных данных за пределами Российской Федерации, не допускается.

9. ПРАВА И ОБЯЗАННОСТИ ОБРАБОТЧИКА

9.1. Обработчик обязуется:

• 9.1.1. Осуществлять обработку персональных данных исключительно в пределах поручения Оператора и в целях, предусмотренных настоящим Соглашением.
• 9.1.2. Соблюдать конфиденциальность персональных данных, не раскрывать и не распространять их третьим лицам без правовых оснований.
• 9.1.3. Принимать необходимые правовые, организационные и технические меры для защиты персональных данных в соответствии с разделом 7 настоящего Соглашения.
• 9.1.4. Уведомлять Оператора об инцидентах в области защиты персональных данных в порядке и в сроки, предусмотренные разделом 11 настоящего Соглашения.
• 9.1.5. Оказывать Оператору техническое содействие в реализации прав Субъектов ПДн (доступ, исправление, удаление, блокирование, прекращение обработки, отзыв согласия).
• 9.1.6. По требованию Оператора предоставлять сведения об осуществляемой обработке персональных данных, включая сведения о фактически применяемых мерах защиты, в объёме, необходимом для целей контроля Оператора за соблюдением Обработчиком условий настоящего Соглашения, — в течение десяти рабочих дней с даты получения запроса.
• 9.1.7. По прекращении настоящего Соглашения или по требованию Оператора удалить персональные данные Субъектов ПДн в порядке, предусмотренном разделом 12 настоящего Соглашения.
• 9.1.8. Незамедлительно сообщать Оператору о поступлении запросов от Субъектов ПДн и (или) уполномоченных государственных органов в отношении обрабатываемых персональных данных.

9.2. Обработчик вправе:

• 9.2.1. Привлекать к обработке третьих лиц (субподрядчиков) в порядке, предусмотренном разделом 8 настоящего Соглашения.
• 9.2.2. Получать от Оператора сведения и документы, необходимые для надлежащего исполнения настоящего Соглашения, включая подтверждения о наличии согласий Субъектов ПДн.
• 9.2.3. Приостановить обработку персональных данных в случаях, когда продолжение обработки может привести к нарушению требований законодательства Российской Федерации, с обязательным уведомлением Оператора.

10. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА

10.1. Оператор обязуется:

• 10.1.1. Обеспечить наличие и надлежащее оформление правовых оснований для обработки персональных данных Субъектов ПДн, в том числе получение всех необходимых согласий в соответствии с требованиями Закона № 152-ФЗ.
• 10.1.2. Информировать Субъектов ПДн о привлечении Обработчика к обработке их персональных данных и о существенных условиях такой обработки.
• 10.1.3. Передавать Обработчику персональные данные, необходимые и достаточные для достижения целей обработки, не передавать избыточных данных.
• 10.1.4. Обеспечивать достоверность и актуальность передаваемых Обработчику персональных данных.
• 10.1.5. Незамедлительно уведомлять Обработчика об отзыве Субъектами ПДн согласий на обработку, о поступлении запросов Субъектов ПДн на удаление, исправление или блокирование персональных данных, а также об иных обстоятельствах, требующих изменения порядка обработки.
• 10.1.6. Самостоятельно обеспечивать получение, учёт и хранение оригиналов (надлежаще оформленных копий) согласий Субъектов ПДн.
• 10.1.7. Самостоятельно отвечать на запросы Субъектов ПДн и уполномоченных государственных органов, направленные непосредственно Оператору.
• 10.1.8. Обеспечивать конфиденциальность учётных данных доступа к Сервису, не передавать их третьим лицам.
• 10.1.9. Выполнить обязанность по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных (статья 22 Закона № 152-ФЗ) в случаях, когда такая обязанность установлена законодательством.
• 10.1.10. Обеспечить наличие прав доступа и правовых оснований, необходимых для получения Обработчиком данных Субъектов ПДн из учётной записи Оператора в системе «YCLIENTS» (пункты 6.5–6.8), а также соответствие такого предоставления условиям договора Оператора с указанной системой.

10.2. Оператор вправе:

• 10.2.1. Получать от Обработчика сведения об осуществляемой обработке персональных данных, в том числе о фактически применяемых мерах защиты.
• 10.2.2. Давать Обработчику обязательные для исполнения указания в отношении обработки персональных данных, не противоречащие настоящему Соглашению, в том числе указания о сроках хранения и порядке удаления данных Субъектов ПДн (пункт 12.6).
• 10.2.3. Направлять Обработчику запросы об удалении, блокировании или предоставлении персональных данных Субъектов ПДн.
• 10.2.4. Осуществлять контроль за соблюдением Обработчиком условий настоящего Соглашения в порядке и в форме, не нарушающих нормальную работу Сервиса.

11. РЕАГИРОВАНИЕ НА ИНЦИДЕНТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

11.1. Под инцидентом информационной безопасности в настоящем Соглашении понимается любое подтверждённое или обоснованно подозреваемое событие, которое привело или могло привести к несанкционированному уничтожению, изменению, блокированию, копированию, предоставлению, распространению персональных данных Субъектов ПДн либо к иным неправомерным действиям в отношении таких данных.

11.2. Сроки уведомления построены так, чтобы Оператор успел исполнить собственные обязанности по части 3.1 статьи 21 Закона № 152-ФЗ (уведомление уполномоченного органа в течение двадцати четырёх часов о факте инцидента и в течение семидесяти двух часов — о результатах внутреннего расследования). При выявлении инцидента Обработчик обязан:

• 11.2.1. незамедлительно, но в любом случае не позднее двенадцати часов с момента выявления инцидента уведомить Оператора через Личный кабинет, по электронной почте Оператора, указанной при регистрации, и по иным доступным каналам связи;
• 11.2.2. одновременно с уведомлением сообщить Оператору сведения, доступные на этот момент: дата и время выявления инцидента, его характер, предполагаемые категории и объём затронутых персональных данных, предполагаемая причина, предпринятые меры реагирования;
• 11.2.3. в течение тридцати шести часов с момента выявления инцидента предоставить Оператору уточнённые сведения об инциденте в объёме, необходимом Оператору для уведомления уполномоченного органа;
• 11.2.4. в течение сорока восьми часов с момента выявления инцидента предоставить Оператору предварительные результаты внутреннего расследования — установленные причины инцидента, перечень затронутых данных и принятые меры, — с тем чтобы Оператор мог исполнить обязанность по направлению результатов расследования в уполномоченный орган;
• 11.2.5. в течение тридцати календарных дней с момента выявления инцидента предоставить Оператору итоговый отчёт с описанием причин инцидента, предпринятых мер реагирования и мер по предотвращению повторения подобных инцидентов;
• 11.2.6. совместно с Оператором определить целесообразность и форму уведомления Субъектов ПДн об инциденте.

11.3. Уведомление уполномоченного органа. Обязанность уведомления уполномоченного органа по защите прав субъектов персональных данных о случившемся инциденте лежит на Операторе как на лице, организовавшем обработку. Обработчик не направляет такие уведомления от своего имени и от имени Оператора, а предоставляет Оператору всю необходимую информацию и содействие в сроки, установленные пунктом 11.2. Обработчик самостоятельно уведомляет уполномоченный орган только в тех случаях, когда такая обязанность прямо возложена законодательством на лицо, осуществляющее обработку персональных данных по поручению; о факте такого уведомления Обработчик информирует Оператора незамедлительно.

11.4. Оператор обязан незамедлительно уведомлять Обработчика о ставших ему известными фактах возможной компрометации учётных данных доступа к Сервису, фактах несанкционированного доступа к Сервису со стороны третьих лиц либо иных обстоятельствах, которые могут привести к инциденту информационной безопасности.

11.5. Стороны добросовестно взаимодействуют при реагировании на инциденты, обмениваются необходимой информацией и оказывают друг другу разумное содействие.

12. ПРЕКРАЩЕНИЕ ОБРАБОТКИ. УДАЛЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

12.1. Обработка персональных данных Субъектов ПДн прекращается в следующих случаях:

• 12.1.1. отзыв Субъектом ПДн согласия на обработку (Оператор обязан незамедлительно передать соответствующее поручение Обработчику);
• 12.1.2. достижение целей обработки;
• 12.1.3. истечение срока действия согласия Субъекта ПДн;
• 12.1.4. установление неправомерности обработки;
• 12.1.5. ликвидация Оператора либо прекращение его деятельности по иным основаниям;
• 12.1.6. прекращение действия Оферты по любому основанию;
• 12.1.7. иные случаи, предусмотренные Законом № 152-ФЗ.

12.2. При прекращении обработки персональные данные Субъектов ПДн подлежат уничтожению Обработчиком в срок, не превышающий тридцати календарных дней с даты прекращения обработки, если иной срок не установлен Законом № 152-ФЗ или поручением Оператора.

12.3. При прекращении настоящего Соглашения в связи с прекращением Оферты:

• 12.3.1. в течение тридцати календарных дней с даты прекращения Оператору обеспечивается возможность выгрузки персональных данных Субъектов ПДн в машиночитаемом формате;
• 12.3.2. по истечении указанного срока Обработчик уничтожает персональные данные Субъектов ПДн из своих информационных систем;
• 12.3.3. сведения, содержащиеся в резервных копиях, уничтожаются по мере регулярной ротации резервных копий, но в любом случае не позднее тридцати календарных дней с даты их уничтожения из действующих систем; до этого момента резервные копии не используются и доступны исключительно для целей восстановления работоспособности Сервиса;
• 12.3.4. сведения, обязанность хранения которых установлена законодательством Российской Федерации, сохраняются Обработчиком в течение установленных законом сроков с обеспечением их защиты.

12.4. Уничтожение персональных данных подтверждается актом об уничтожении персональных данных, а при автоматизированной обработке — также выгрузкой из журнала регистрации событий в информационной системе, в соответствии с Приказом Роскомнадзора от 28 октября 2022 года № 179. По письменному запросу Оператора Обработчик направляет указанные документы в течение десяти рабочих дней с даты получения запроса. Срок хранения акта и выгрузки — три года с момента уничтожения персональных данных.

12.5. Уничтожение персональных данных производится способами, исключающими возможность восстановления уничтоженных данных.

12.6. Сроки хранения определяет Оператор. Обработчик хранит персональные данные Субъектов ПДн в течение срока, установленного Оператором, и удаляет их по поручению Оператора. Сроки, указанные в пунктах 12.2 и 12.3, применяются как значения по умолчанию — при отсутствии иных указаний Оператора. Оператор вправе установить меньший срок хранения либо потребовать удаления данных в более короткий срок, направив соответствующее указание в порядке пункта 10.2.2; Обработчик подтверждает технически реализуемый срок в течение десяти рабочих дней и исполняет указание в подтверждённый срок. Установление Оператором срока хранения не отменяет обязанности Обработчика хранить отдельные сведения в течение сроков, прямо установленных законодательством Российской Федерации.

13. РЕАЛИЗАЦИЯ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

13.1. Запросы Субъектов ПДн на реализацию их прав, предусмотренных Законом № 152-ФЗ (доступ к персональным данным, уточнение, блокирование, удаление, отзыв согласия, иные права), направляются Субъектами ПДн непосредственно Оператору.

13.2. Обработчик предоставляет Оператору технические средства Сервиса, позволяющие исполнить запросы Субъектов ПДн (функции редактирования, удаления, экспорта данных в Личном кабинете).

13.3. В случае поступления запроса Субъекта ПДн непосредственно Обработчику (минуя Оператора), Обработчик:

• 13.3.1. в течение трёх рабочих дней с даты получения запроса перенаправляет запрос соответствующему Оператору;
• 13.3.2. уведомляет Субъекта ПДн о перенаправлении запроса с указанием контактных данных Оператора;
• 13.3.3. оказывает Оператору необходимое техническое содействие в исполнении запроса.

13.4. Срок ответа Оператора на запрос Субъекта ПДн определяется Законом № 152-ФЗ. Обработчик не несёт ответственности за нарушение Оператором сроков ответа на запросы Субъектов ПДн.

14. ОТВЕТСТВЕННОСТЬ СТОРОН

14.1. За неисполнение или ненадлежащее исполнение обязательств по настоящему Соглашению Стороны несут ответственность в соответствии с условиями Оферты и применимым законодательством Российской Федерации.

14.2. Обработчик несёт ответственность перед Оператором за убытки, причинённые нарушением Обработчиком условий настоящего Соглашения, с учётом ограничения ответственности, установленного Офертой.

14.3. Оператор несёт ответственность перед Субъектами ПДн и уполномоченными государственными органами за обработку персональных данных Субъектов ПДн как лицо, организовавшее обработку (часть 3 статьи 6 Закона № 152-ФЗ). Данное положение не освобождает Обработчика от ответственности перед Субъектом ПДн в случаях, когда такая ответственность прямо установлена законом.

14.4. Оператор обязуется освободить Обработчика от ответственности по претензиям Субъектов ПДн, основанным на:

• 14.4.1. отсутствии у Оператора надлежаще оформленных согласий Субъектов ПДн;
• 14.4.2. нарушении Оператором требований законодательства Российской Федерации о персональных данных;
• 14.4.3. ненадлежащем информировании Оператором Субъектов ПДн об осуществляемой обработке;
• 14.4.4. передаче Оператором Обработчику персональных данных в избыточном объёме или с нарушением целевого назначения.

15. СРОК ДЕЙСТВИЯ СОГЛАШЕНИЯ

15.1. Настоящее Соглашение вступает в силу с момента акцепта Оферты Оператором и действует в течение всего срока действия Оферты.

15.2. Прекращение Оферты по любому основанию влечёт прекращение настоящего Соглашения. Положения настоящего Соглашения, касающиеся порядка прекращения обработки и уничтожения персональных данных (раздел 12), а также ответственности Сторон (раздел 14), сохраняют силу после прекращения Соглашения до полного исполнения соответствующих обязательств.

15.3. Изменение условий настоящего Соглашения осуществляется в порядке, предусмотренном Офертой для изменения условий Оферты и приложений к ней.

16. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

16.1. Настоящее Соглашение составляет неотъемлемую часть Оферты. Положения Оферты применяются к отношениям Сторон в части, не урегулированной настоящим Соглашением.

16.2. Все уведомления, направляемые в рамках настоящего Соглашения, направляются в порядке и способами, предусмотренными Офертой.

16.3. К отношениям Сторон в рамках настоящего Соглашения применяется материальное право Российской Федерации.

16.4. Споры, возникающие в связи с исполнением настоящего Соглашения, разрешаются в порядке, установленном Офертой.