Поручение на обработку персональных данных

1. Стороны и статус сторон

1.1. Оператор - лицо, определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, и перечень действий, совершаемых с персональными данными, и передающее их на обработку Обработчику в рамках использования сервиса site-analytics.

1.2. Обработчик - Индивидуальный предприниматель Никифоров Игорь Антипович, предоставляющий сервис site-analytics и осуществляющий обработку персональных данных по поручению Оператора в объеме, порядке и целях, определенных настоящим Поручением, публичной офертой, договором, тарифом, интерфейсом сервиса и документированными инструкциями Оператора.

1.3. В рамках настоящего Поручения:

• Оператор действует как оператор персональных данных;
• Обработчик действует как лицо, осуществляющее обработку персональных данных по поручению оператора.

1.4. Настоящее Поручение применяется к обработке персональных данных, которую Обработчик осуществляет по поручению Оператора и в его интересах при предоставлении сервиса site-analytics.

2. Предмет Поручения

2.1. Оператор поручает Обработчику обработку персональных данных в объеме, необходимом для предоставления сервиса site-analytics, его функционирования, технического сопровождения, хранения, систематизации, обеспечения доступа, резервного копирования, клиентской поддержки, журналирования, защиты от ботов, обеспечения информационной безопасности и иных действий, прямо связанных с исполнением договора между сторонами.

2.2. Обработчик осуществляет обработку персональных данных исключительно:

• в целях предоставления сервиса site-analytics;
• в пределах документированных указаний Оператора;
• в объеме, необходимом для исполнения обязательств перед Оператором;
• с соблюдением законодательства Российской Федерации о персональных данных.

2.3. Настоящее Поручение не предоставляет Обработчику права использовать персональные данные, полученные от Оператора, в собственных маркетинговых целях, для рекламы, для передачи третьим лицам вне целей исполнения Поручения, для построения собственных кросс-клиентских моделей либо для иных целей, не предусмотренных Поручением, если иное прямо не следует из закона или отдельных документов, применимых к конкретному сценарию.

3. Цели обработки по Поручению

3.1. Обработка персональных данных по настоящему Поручению осуществляется в следующих целях:

• построение сводного отчета реклама-заявки-продажи в рабочем пространстве Оператора;
• сбор и обработка событий посещения сайта Оператора (визиты, страницы, формы);
• привязка визитов к обращениям, лидам и продажам в CRM Оператора;
• построение пути посетителя до заявки и атрибуция по каналам, кампаниям и ключам;
• построение готовых отчетов (неэффективные ключи, потерянные обращения, воронка статусов, общие черты покупателей);
• выявление спорного трафика, ботов, аномалий и подозрительных обращений;
• подготовка доказательных выгрузок и снимков отчетов по периодам;
• обеспечение работы API, интеграций и приема событий в пределах функциональности сервиса;
• обеспечение информационной безопасности, резервного копирования, журналирования и реагирования на инциденты;
• обработка запросов в поддержку, инцидентов, ошибок и сбоев;
• исполнение иных документированных инструкций Оператора в рамках архитектуры сервиса и законодательства.

4. Категории субъектов персональных данных

• посетители сайта Оператора, заполнившие формы, оставившие обращения или совершившие иные действия, фиксируемые сервисом;
• лиды, клиенты и контактные лица Оператора, попавшие в CRM Оператора;
• работники, представители, ответственные лица Оператора, использующие сервис;
• иные физические лица, чьи данные Оператор законно передает в сервис.

5. Перечень персональных данных

5.1. В рамках настоящего Поручения могут обрабатываться следующие категории данных, определяемые Оператором в зависимости от сценария использования:

• веб-идентификаторы и псевдонимизированные идентификаторы: visitorId, sessionId, clientId, идентификаторы сессии;
• хеши контактных данных (телефона, email), используемые в матчинговых сценариях;
• UTM-метки, идентификаторы рекламных кликов (yclid, gclid, fbclid);
• события посещения сайта Оператора: страницы, переходы, отправки форм, время, последовательность;
• технические данные браузера и устройства в объеме, собираемом сервисом;
• данные обращений и заявок: имя, контакты, описание задачи в объеме, который передает Оператор;
• данные CRM Оператора: статусы сделок, ответственные, причины отказов, факт оплаты;
• данные о рекламных расходах по каналам, кампаниям, группам и ключам;
• метаданные звонков и сообщений, поступающие из call-tracking и мессенджер-сервисов Оператора;
• сведения, добровольно загружаемые Оператором (CSV, выгрузки, исторические данные).

5.2. В базовой модели сервис не обрабатывает сырой IP-адрес, нехешированный телефон, нехешированный email, содержимое звонков, переписки и приложенных файлов. Включение таких функций возможно только при подтверждении Оператором соответствующего правового основания и отдельной настройке сервиса.

5.3. Хеширование, маскирование и иная псевдонимизация не освобождают Оператора от обязанности иметь правовое основание для обработки и передачи соответствующих данных, если они могут быть прямо или косвенно связаны с субъектом персональных данных.

5.4. Оператор самостоятельно определяет состав персональных данных, подлежащих обработке, и несет ответственность за законность их передачи Обработчику.

6. Перечень действий с персональными данными

6.1. Обработчик вправе осуществлять с персональными данными следующие действия: сбор (в части данных, передаваемых через интеграции, прием событий и интерфейсы сервиса), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление доступа в пределах настроек Оператора, блокирование, удаление, уничтожение, а также иные технически необходимые действия, прямо вытекающие из функциональности сервиса.

6.2. Обработка может осуществляться как с использованием средств автоматизации, так и без таких средств, если это необходимо для исполнения Поручения.

7. Инструкции Оператора

7.1. Инструкциями Оператора считаются:

• условия публичной оферты, договора, тарифа и иных специальных документов;
• настройки сервиса, выбранные Оператором;
• действия пользователей Оператора в интерфейсе сервиса в пределах их прав доступа;
• обращения Оператора в поддержку;
• иные документированные указания Оператора, не противоречащие законодательству и архитектуре сервиса.

7.2. Обработчик вправе не исполнять указание Оператора, если оно противоречит законодательству, требует действий, не предусмотренных архитектурой сервиса, либо создает несоразмерный риск безопасности или нарушения прав третьих лиц.

8. Обязанности Оператора

• иметь надлежащие правовые основания для обработки персональных данных и их передачи Обработчику;
• самостоятельно определять цели обработки;
• не передавать в сервис данные, обработка которых не обеспечена законными основаниями;
• обеспечить надлежащее информирование субъектов персональных данных и получение необходимых согласий, если это требуется законодательством, в том числе по cookies, аналитическим идентификаторам, рекламным выгрузкам и обработке хешей контактных данных;
• не включать функции обработки raw IP, содержимого звонков, переписки, email, вложений и рекламных аудиторных выгрузок без отдельной проверки правового основания и подтверждения в настройках или специальных документах;
• не поручать Обработчику обработку специальных категорий персональных данных, биометрических персональных данных или иных чувствительных данных, если такая обработка не согласована отдельно и не допускается функциональностью сервиса и законодательством;
• самостоятельно отвечать перед субъектами персональных данных за законность первичной обработки и передачи данных Обработчику.

9. Обязанности Обработчика

• обрабатывать персональные данные только в пределах настоящего Поручения и инструкций Оператора;
• соблюдать конфиденциальность персональных данных;
• обеспечивать безопасность персональных данных при их обработке;
• соблюдать требования, предусмотренные частью 5 статьи 18, статьей 18.1 и статьей 19 Федерального закона N 152-ФЗ;
• по запросу Оператора предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований законодательства, в объеме, разумно необходимом для проверки исполнения Поручения;
• уведомлять Оператора об инцидентах, связанных с неправомерной или случайной передачей, предоставлением, распространением, доступом, уничтожением, изменением, блокированием, копированием персональных данных, без неоправданной задержки, в объеме, достаточном для исполнения Оператором обязанностей, предусмотренных законодательством;
• помогать Оператору в исполнении запросов субъектов персональных данных в технологической части (поиск, блокирование, удаление, экспорт);
• по прекращении Поручения прекратить обработку персональных данных и совершить действия, предусмотренные разделом 13 настоящего Поручения.

10. Меры безопасности

10.1. Обработчик принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

10.2. Меры включают, в частности:

• разграничение доступа к персональным данным на основе ролей;
• изоляцию рабочих пространств клиентов;
• журналирование действий администраторов и операций с данными;
• использование механизмов аутентификации и авторизации;
• шифрование канала передачи данных, шифрование чувствительных данных при хранении в объеме, реализованном в продуктивном контуре;
• резервное копирование и процедуры восстановления;
• внутренние процедуры реагирования на инциденты;
• договорные обязательства по конфиденциальности с лицами, допущенными к обработке.

10.3. Обработчик осуществляет запись, систематизацию, накопление, хранение, уточнение, извлечение и иные операции с персональными данными граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

10.4. В базовом контуре сервиса трансграничная передача персональных данных не осуществляется. Любые сценарии передачи в иностранные сервисы возможны только при наличии законных оснований, отдельного уведомления Роскомнадзора и подтвержденной правовой базы со стороны Оператора.

11. Привлечение третьих лиц (субобработчиков)

11.1. Обработчик вправе привлекать третьих лиц для исполнения настоящего Поручения в части, необходимой для:

• хостинга и инфраструктуры на территории РФ;
• корпоративной и сервисной электронной почты;
• биллинга и приема оплаты;
• резервного копирования;
• мониторинга и технической диагностики;
• аутентификации и управления доступом;
• иных инфраструктурных и технических задач, объективно необходимых для работы сервиса.

11.2. На привлеченных лиц возлагаются обязанности по защите, конфиденциальности и безопасности персональных данных не ниже предусмотренных настоящим Поручением.

11.3. Обработчик несет ответственность перед Оператором за действия привлеченных им лиц в пределах, установленных законодательством и договором.

12. Подтверждение соблюдения требований

12.1. Оператор вправе запрашивать у Обработчика информацию и документы, подтверждающие соблюдение требований законодательства и условий настоящего Поручения, в объеме, разумно необходимом для проверки исполнения Поручения.

12.2. Обработчик вправе предоставлять такую информацию в форме справок, писем, описаний мер безопасности, выписок из внутренних процедур, без раскрытия сведений, составляющих коммерческую тайну, информации о других клиентах и сведений о конфигурации безопасности, создающих риск безопасности.

12.3. Выездной аудит допускается только при наличии отдельного письменного соглашения сторон.

13. Срок действия, прекращение обработки и удаление данных

13.1. Настоящее Поручение действует с момента его акцепта Оператором и в течение срока действия договора между сторонами.

13.2. По прекращении действия настоящего Поручения, если иное не предусмотрено законодательством или специальными документами Обработчика, применяется следующий базовый порядок:

• доступ Оператора к сервису и данным сохраняется в течение периода, предусмотренного тарифом или отдельным документом;
• в течение доступного периода Оператор вправе самостоятельно выгрузить данные с использованием функциональности сервиса;
• данные из активной среды подлежат удалению или обезличиванию в срок 30 календарных дней после прекращения доступа, если иное не требуется по закону, договору, политике хранения данных или для защиты прав и законных интересов Обработчика;
• резервные копии удаляются или перезаписываются в рамках стандартного цикла хранения резервных копий Обработчика.

14. Ответственность сторон

14.1. Оператор несет ответственность перед субъектами персональных данных за действия Обработчика в случаях и пределах, установленных законодательством. Обработчик несет ответственность перед Оператором.

14.2. Оператор несет ответственность за законность обработки, наличие правовых оснований для передачи данных Обработчику, содержание, объем и правомерность данных, передаваемых в сервис.

14.3. Обработчик несет ответственность перед Оператором за нарушение условий настоящего Поручения, допущенное по вине Обработчика и повлекшее убытки Оператора.

15. Приоритет документов

В случае противоречия между настоящим Поручением и публичной офертой, договором, тарифом, политикой обработки персональных данных или иным специальным документом применяются положения настоящего Поручения в части обработки персональных данных по поручению Оператора, и положения иного специального документа в части, прямо им регулируемой, если он не снижает обязательный уровень защиты персональных данных.

16. Заключительные положения

16.1. Настоящее Поручение может быть акцептовано Оператором путем акцепта публичной оферты, подписания договора, подписания отдельного поручения или совершения иного действия, прямо указанного Обработчиком как акцепт.

16.2. К Поручению применяется законодательство Российской Федерации.

16.3. Актуальная редакция Поручения размещается по адресу /legal/dpa.

17. Реквизиты Обработчика

ИП Никифоров Игорь Антипович

ИНН 143520395895

ОГРНИП 326508100212052

г. Москва

email info@nikiforov.space

Версия

1.1

Дата вступления в силу

с момента публикации на сайте