Приложение № 2 к Публичной оферте. Условия доступа к данным Заказчика и поручение на обработку персональных данных

1.1.Настоящее Приложение № 2 (далее — «Поручение») является неотъемлемой частью Публичной оферты Исполнителя — Индивидуальный предприниматель Мхитарян Александр Владимирович (https://intops.ru/docs/offer, далее — «Оферта») и применяется, когда при выполнении Работ или оказании Услуг (разработка и доработка сайтов, техническая поддержка, интеграции с 1С и иными системами, работы с данными и базами данных, поисковое продвижение, аудит, администрирование) Исполнитель получает доступ к персональным данным, оператором которых является Заказчик: данным покупателей и пользователей сайта, контрагентов, работников и представителей Заказчика, содержащимся в сайте, базе данных, 1С, CRM, системах аналитики и иных информационных системах Заказчика (далее — «Данные»).

1.2.Заказчик является оператором Данных и определяет цели и состав их обработки; Исполнитель является лицом, осуществляющим обработку по поручению оператора (часть 3 статьи 6 Федерального закона № 152-ФЗ), и не определяет цели обработки. Поручение считается принятым Сторонами с момента акцепта Счёта по Заказу, предполагающему доступ к Данным, либо с момента фактического предоставления доступа; редакция Поручения и дата акцепта фиксируются в Личном кабинете. Поручение не применяется к обработке Исполнителем персональных данных самого Заказчика и его представителей для целей ведения Личного кабинета, выставления Счетов и исполнения Договора — она осуществляется Исполнителем как оператором в соответствии с Политикой обработки персональных данных (https://intops.ru/docs/privacy).

1.3.Поручение применяется только к Данным, фактически предоставленным Исполнителю. Если по характеру Задания доступ к Данным не требуется, Заказчик предоставляет обезличенные или тестовые данные; Исполнитель не запрашивает доступ к Данным сверх необходимого для выполнения Задания.

2.1.Цель обработки — выполнение Работ и оказание Услуг по Заказу Заказчика (диагностика и устранение ошибок, доработка сайта, настройка и проверка обмена данными, перенос и восстановление данных, аудит, сопровождение), а также обеспечение функционирования сайта и информационных систем Заказчика в объёме Задания.

2.2.Категории субъектов и перечень Данных определяются Заказчиком исходя из содержимого его систем: пользователи и покупатели сайта, контрагенты, работники и представители Заказчика; фамилия, имя, отчество, контактные данные (телефон, адрес электронной почты, адрес доставки), сведения о заказах и платежах (без данных банковских карт), идентификаторы учётных записей, сетевые идентификаторы и данные cookies, иные данные, размещённые Заказчиком в своих системах. Заказчик не предоставляет Исполнителю специальные категории персональных данных и биометрические персональные данные; при их наличии в системах Заказчика доступ к ним исключается средствами Заказчика либо оформляется отдельным соглашением.

2.4.Исполнитель не осуществляет сбор Данных у субъектов, не использует Данные в собственных целях, не передаёт их третьим лицам (кроме случаев, указанных в разделе 5), не осуществляет трансграничную передачу Данных и не принимает решений, порождающих юридические последствия в отношении субъектов.

3.1.Исполнитель обрабатывает Данные исключительно в целях и в пределах Поручения и Задания, обеспечивает конфиденциальность Данных (статья 7 Федерального закона № 152-ФЗ) и допускает к Данным только своих работников и привлечённых специалистов, которым доступ необходим для выполнения Задания и которые приняли обязательство о неразглашении.

3.3.Уровень защищённости информационной системы персональных данных и состав мер в ней определяет Заказчик как оператор; Исполнитель обеспечивает меры в отношении собственных средств обработки и действий своих специалистов, а при выполнении работ в системах Заказчика следует требованиям Заказчика, доведённым до Исполнителя в Задании. Базы данных Заказчика, содержащие Данные граждан Российской Федерации, по указанию Заказчика размещаются на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ); Исполнитель не переносит Данные за пределы Российской Федерации.

3.4.При выявлении Исполнителем инцидента, повлёкшего или способного повлечь неправомерную или случайную передачу (предоставление, распространение, доступ) Данных, Исполнитель уведомляет Заказчика через Личный кабинет и по электронной почте не позднее 12 (двенадцати) часов с момента выявления, сообщает известные ему обстоятельства, предполагаемый объём затронутых Данных и принятые меры, а также содействует Заказчику в расследовании. Уведомление уполномоченного органа по защите прав субъектов персональных данных в сроки, установленные частью 3.1 статьи 21 Федерального закона № 152-ФЗ, осуществляет Заказчик как оператор; Исполнитель предоставляет необходимые для этого сведения.

3.5.Копии Данных (резервные, тестовые, выгрузки), созданные Исполнителем, уничтожаются в течение 30 (тридцати) календарных дней после приёмки результата или прекращения Заказа, если более длительный срок не указан Заказчиком в Задании; доступы к системам Заказчика удаляются в порядке Оферты. По запросу Заказчика Исполнитель подтверждает уничтожение копий; акт об уничтожении оформляется по запросу и оплачивается как отдельная Услуга.

3.6.По запросу Заказчика Исполнитель в течение 10 (десяти) рабочих дней предоставляет сведения о принятых мерах по обеспечению безопасности Данных и о лицах, допущенных к ним, в объёме, необходимом Заказчику для исполнения обязанностей оператора, а также содействует Заказчику при обращениях субъектов и проверках уполномоченного органа в части действий Исполнителя.

4.1.Заказчик гарантирует, что Данные получены законно, обрабатываются на законных основаниях, субъекты уведомлены об обработке и, когда это требуется законом, дали согласие, в том числе на поручение обработки третьему лицу; что Заказчик уведомил уполномоченный орган об обработке персональных данных (статья 22 Федерального закона № 152-ФЗ) и при необходимости указал в уведомлении Исполнителя как лицо, осуществляющее обработку по поручению; что на сайте Заказчика размещена политика обработки персональных данных.

4.2.Заказчик определяет в Задании состав Данных, к которым требуется доступ, особые требования к их обработке и защите, порядок предоставления тестовых данных и срок хранения копий; при отсутствии указаний применяются условия Поручения.

4.3.Заказчик самостоятельно отвечает перед субъектами персональных данных и уполномоченными органами за законность обработки Данных в своих системах (часть 5 статьи 6 Федерального закона № 152-ФЗ). Требования субъектов и органов, возникшие из-за нарушений Заказчиком обязанностей оператора, Заказчик урегулирует самостоятельно и возмещает Исполнителю документально подтверждённые потери, вызванные такими нарушениями (статья 406.1 Гражданского кодекса Российской Федерации).

5.1.Исполнитель вправе привлекать к выполнению Задания своих работников и специалистов по гражданско-правовым договорам, обеспечивая выполнение ими условий Поручения и принимая на себя ответственность за их действия. Передача Данных иным третьим лицам допускается только по указанию Заказчика либо в случаях, предусмотренных законодательством Российской Федерации (по требованию уполномоченного органа), с уведомлением Заказчика, если это не запрещено законом.

5.2.Поставщики инфраструктуры, используемые Исполнителем для собственных средств обработки (центры обработки данных и хостинг-провайдеры на территории Российской Федерации, операторы связи), не получают доступа к содержимому Данных; перечень таких поставщиков предоставляется по запросу Заказчика.

6.1.Поручение действует в течение срока выполнения Заказа (обслуживания) и прекращается после уничтожения копий Данных и удаления доступов; обязательства о конфиденциальности сохраняются бессрочно.

6.2.Ответственность Исполнителя перед Заказчиком за нарушение Поручения ограничивается в порядке раздела Оферты об ответственности; перед субъектами персональных данных отвечает Заказчик как оператор. Исполнитель не отвечает за законность обработки Данных в системах Заказчика, за содержание Данных и за последствия указаний Заказчика.

6.3.Во всём, что не урегулировано Поручением, применяется Оферта. Стороны вправе заключить отдельное соглашение о поручении обработки персональных данных по форме Заказчика, если это требуется его внутренними документами; до его заключения действует настоящее Поручение.