Поручение на обработку персональных данных
Приложение № 2 к Публичной оферте Normatica
Версия 1.0 · проект для юридической проверки
ВАЖНО. Документ является проектом для настройки продукта и последующей проверки практикующим российским юристом, специализирующимся на IT, персональных данных и электронном документообороте. До публикации необходимо заполнить маркированные поля и сверить текст с фактической архитектурой, подрядчиками, тарифами и реализацией ПЭП.
1. Роли сторон
1.1. Заказчик является оператором персональных данных работников, инструктирующих и иных Участников и определяет цели обработки.
1.2. Normatica осуществляет обработку указанных данных по поручению Заказчика в объёме, необходимом для работы Сервиса.
1.3. Для данных Представителя, платежей, поддержки и безопасности Normatica действует как самостоятельный оператор по Политике.
2. Цели поручения
Создание карточек работников; назначение и прохождение обучения; тестирование; организация практической части; формирование, подписание и хранение Записей; ведение журналов; уведомления; экспорт и история.
2.2. Normatica не определяет несовместимые самостоятельные цели в отношении идентифицируемых данных работников.
3. Субъекты и данные
| Субъект | Персональные данные |
|---|---|
| Работники и Участники | ФИО; должность; подразделение или рабочая зона; телефон; даты событий; результаты тестов; участие в практике; подписи и подтверждения; комментарии Заказчика. |
| Инструктирующие и ответственные | ФИО; должность; полномочия; телефон; подписи; сведения о проведённых мероприятиях. |
| Представители Заказчика | ФИО; должность; действия с карточками работников и журналами. |
| Технические данные | Идентификатор ссылки и сессии; дата и время; IP [ЕСЛИ СОБИРАЕТСЯ]; user-agent [ЕСЛИ СОБИРАЕТСЯ]; доставка SMS; хеш Записи; события безопасности. |
4. Операции
Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача согласованным обработчикам, предоставление Заказчику, обезличивание, блокирование, удаление и уничтожение. Распространение не поручается.
5. Инструкции Заказчика
5.1. Настоящее Поручение, настройки кабинета и действия уполномоченного Представителя являются документированными инструкциями.
5.2. Дополнительная инструкция должна быть законной, технически выполнимой и не нарушать права иных клиентов.
5.3. Заказчик отвечает за правовое основание, информирование субъектов, точность данных и законность использования результатов.
6. Обязанности Normatica
- обрабатывать данные только в целях и объёме поручения;
- соблюдать конфиденциальность и разграничивать доступ;
- принимать правовые, организационные и технические меры защиты;
- обеспечивать локализацию первичных баз данных граждан Российской Федерации на территории Российской Федерации;
- вести учёт доступа и операций в объёме [УКАЗАТЬ];
- оказывать содействие по запросам субъектов, инцидентам и проверкам;
- предоставить экспорт и удалить данные по Регламенту после прекращения поручения
7. Меры безопасности
7.1. Минимальные меры: защищённые соединения, разграничение доступа, резервное копирование, журналирование, управление уязвимостями и привилегиями, процедуры реагирования и безопасное уничтожение.
7.2. Размещение: [УКАЗАТЬ ХОСТИНГ-ПРОВАЙДЕРА], дата-центры [УКАЗАТЬ], резервное хранилище [УКАЗАТЬ].
7.3. Специальные категории и биометрические данные не вводятся, если отдельная функция и основание не согласованы письменно.
8. Привлекаемые обработчики
| Функция | Обработчик | Место обработки |
|---|---|---|
| Хостинг | [УКАЗАТЬ ХОСТИНГ-ПРОВАЙДЕРА] | Российская Федерация |
| SMS | [УКАЗАТЬ SMS-ПРОВАЙДЕРА] | [УКАЗАТЬ] |
| Электронная почта | [УКАЗАТЬ СЕРВИС ЭЛЕКТРОННОЙ ПОЧТЫ] | [УКАЗАТЬ] |
| Резервные копии | [УКАЗАТЬ] | Российская Федерация |
| Поддержка | [УКАЗАТЬ] | [УКАЗАТЬ] |
8.2. О существенном изменении перечня обработчиков Normatica уведомляет через Политику или Личный кабинет.
9. Инциденты
9.1. Normatica уведомляет Заказчика без неоправданной задержки, но не позднее 12 часов после подтверждения существенного инцидента.
9.2. Уведомление содержит доступные сведения о характере, данных, субъектах, последствиях, мерах и контактном лице.
9.3. Normatica проводит расследование и предоставляет уточнения, необходимые Заказчику для исполнения установленных законом сроков.
9.4. Стороны координируют внешние сообщения, не ограничивая самостоятельные обязанности каждой стороны.
10. Запросы субъектов и органов
10.1. Запрос о данных, обрабатываемых по поручению, перенаправляется Заказчику, если закон не требует прямого ответа.
10.2. Normatica предоставляет технические функции поиска, экспорта, уточнения, блокирования и удаления.
10.3. О законном запросе органа Заказчик уведомляется, если это допустимо.
11. Срок, возврат и уничтожение
11.1. Поручение действует в течение Договора и архивного хранения.
11.2. После отмены предоставляется [УКАЗАТЬ СРОК ДОСТУПА ПОСЛЕ ОТМЕНЫ] для экспорта.
11.3. Активные данные удаляются в течение [УКАЗАТЬ СРОК УДАЛЕНИЯ ДАННЫХ], резервные — по циклу ротации не позднее [УКАЗАТЬ СРОК].
11.4. Технические журналы и доказательства подписания могут храниться [УКАЗАТЬ СРОК ХРАНЕНИЯ ТЕХНИЧЕСКИХ ЖУРНАЛОВ] для защиты прав и исполнения закона.
12. Проверка исполнения
12.1. Не чаще одного раза в год Заказчик может запросить описание мер, перечень обработчиков и подтверждения без раскрытия секретов безопасности.
12.2. Очный аудит проводится по согласованию и за счёт Заказчика, кроме обязательного требования закона или подтверждённого инцидента.
13. Контакты
Контакт Normatica по персональным данным: [УКАЗАТЬ ФИО/ДОЛЖНОСТЬ, EMAIL ПО ПЕРСОНАЛЬНЫМ ДАННЫМ, ТЕЛЕФОН].