Поручение на обработку данных заявок

УСЛОВИЯ ПОРУЧЕНИЯ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

при использовании системы приёма и передачи заявок «Сибирь Софт»

1. Предмет поручения и роли сторон

1.1. Оператор поручает Обработчику обработку персональных данных субъектов, которые Оператор получает через принадлежащий ему сайт, форму, информационную систему или иной законный источник и передаёт в систему приёма и передачи заявок «Сибирь Софт».

1.2. Оператор самостоятельно определяет цели обработки, состав собираемых данных, категории субъектов, срок обработки, получателей и подключаемые каналы доставки. Обработчик не определяет коммерческие цели сбора заявок и действует только в пределах настоящего поручения и документированных настроек/инструкций Оператора.

1.3. Обработчик вправе обрабатывать данные только для технического приёма, записи, хранения, отображения в административной панели, форматирования, маршрутизации, доставки, повторной доставки при технических ошибках, ведения журналов, обеспечения безопасности, технической поддержки и исполнения законных инструкций Оператора.

1.4. Обработчик не вправе использовать данные субъектов для собственной рекламы, самостоятельного профилирования, продажи баз данных или иных собственных целей, не связанных с исполнением поручения.

1.5. В собственных обращениях и договорах «Сибирь Софт» самостоятельно определяет цели обработки и выступает оператором. Для заявок сайта клиента цели, законные основания, состав данных, получателей и инструкции определяет клиент-Оператор, а Обработчик выполняет только согласованные операции. Наличие записи в реестре Роскомнадзора не заменяет поручение и не снимает обязанностей ни с одной стороны.

1.6. Для данных внутри VM, баз 1С и иных систем состав поручения согласуется отдельно в приложении к Заказу до начала такой обработки. Настоящая матрица заявок не считается автоматическим разрешением обрабатывать любые категории данных клиента.

2. Категории субъектов и персональных данных

2.1. Категории субъектов определяются Оператором и могут включать посетителей сайта, заявителей, потенциальных клиентов, клиентов, представителей контрагентов и иных лиц, направляющих сведения через подключённую форму.

2.2. В пределах стандартного интерфейса системы заявок допускается обработка следующих категорий обычных персональных данных:

• имя/обращение;
• телефон, email, Telegram-контакт;
• название компании, город, тема обращения, выбранная услуга, бюджет;
• описание задачи и содержание заявки;
• источник, URL страницы, referrer и UTM-метки;
• IP-адрес, дата и время, технические идентификаторы, статусы доставки и журналы;
• дополнительные пользовательские поля, если их передача законна и необходима для цели Оператора.

2.3. Оператор не должен передавать через систему заявок специальные категории персональных данных, биометрические данные, сведения о здоровье, судимости, политических или религиозных взглядах, паспортные данные, полные реквизиты банковских карт, пароли, коды подтверждения и иные сведения повышенного риска, если их обработка заранее письменно не согласована с Обработчиком и не обеспечена соответствующая правовая и техническая защита.

3. Перечень действий и техническая схема

3.1. В рамках поручения Обработчик вправе совершать: получение/сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование исключительно для исполнения поручения, передачу определённым Оператором получателям и подключённым сервисам связи, блокирование, удаление и уничтожение.

3.2. Обработка является преимущественно автоматизированной и осуществляется через сеть Интернет и информационные системы Обработчика.

3.3. Базовая схема: сайт/система Оператора → HTTPS/API → https://gateway.sibsoft-it.ru → операционная база данных на территории Российской Федерации → получатели, настроенные Оператором через MAX и/или Telegram.

3.4. Система заявок хранит исходный JSON заявки, подготовленный текст сообщения, статусы доставки, привязки получателей и технические сведения, необходимые для работы истории заявок, повторной доставки, диагностики и безопасности.

4. Инструкции и обязанности Оператора

4.1. Оператор обязуется до передачи данных в систему заявок иметь законное основание для их обработки и, когда это требуется, получить надлежащее согласие субъекта.

4.2. Оператор самостоятельно:

• размещает на своём сайте актуальную политику обработки персональных данных и необходимые формы согласий;
• уведомляет Роскомнадзор об обработке персональных данных в случаях и порядке, установленных законом;
• определяет достаточный, относимый и неизбыточный состав полей формы;
• обеспечивает законность сведений о третьих лицах, передаваемых в систему заявок;
• назначает получателей заявок и контролирует их доступ;
• сообщает Обработчику об отзыве согласия, требовании субъекта или необходимости удалить/исправить конкретные данные;
• не использует систему заявок для незаконной рассылки, скрытого сбора данных или обработки запрещённых/избыточных категорий.

4.3. Настройки Оператора в административной панели, включая создание организации, подключение получателя, включение MAX/Telegram и передача данных на выданный integration ID, признаются документированными инструкциями Оператора в технической части поручения.

5. MAX, Telegram и трансграничная передача

5.1. Оператор самостоятельно выбирает каналы доставки и получателей. Подключая получателя к MAX и/или Telegram, Оператор поручает Обработчику технически передавать соответствующему сервису содержание сообщения и идентификатор получателя в объёме, необходимом для доставки.

5.2. При наличии обоих каналов система заявок вправе использовать MAX как основной канал и Telegram как резервный при ошибке доставки MAX, если такая логика включена в текущей версии сервиса.

5.3. Если выбранная Оператором схема приводит к трансграничной передаче персональных данных, Оператор обязан до её начала выполнить требования статьи 12 Федерального закона № 152-ФЗ, включая направление отдельного уведомления Роскомнадзора, когда оно требуется.

5.4. Обработчик вправе запросить у Оператора подтверждение выполнения обязательных требований, временно отключить соответствующий канал либо отказать в исполнении явно незаконной инструкции.

5.5. Если канал или внешний сервис изменяет свои правила, инфраструктуру или юрисдикцию обработки, стороны актуализируют настройки и документы в разумный срок.

6. Обязанности Обработчика

• обрабатывать данные только в рамках поручения и документированных инструкций Оператора;
• соблюдать конфиденциальность персональных данных;
• обеспечивать соблюдение принципов и правил обработки, применимых к лицу, осуществляющему обработку по поручению;
• принимать необходимые правовые, организационные и технические меры безопасности;
• обеспечивать первичную запись и хранение данных российских граждан в российской базе в случаях, когда к обработке применяется требование локализации;
• ограничивать доступ к административной панели и инфраструктуре;
• по разумному запросу Оператора предоставлять сведения и документы, подтверждающие принятые меры, без раскрытия секретов, паролей, ключей и деталей, способных снизить безопасность;
• оказывать разумное содействие при исполнении законных запросов субъектов и Роскомнадзора в части данных, находящихся у Обработчика;
• после прекращения поручения удалить или вернуть данные в порядке раздела 10, если закон не требует их дальнейшего хранения.

7. Безопасность и инциденты

7.1. Обработчик обязан применять необходимые для своей части обработки меры: ограничение и разграничение доступа, защиту учётных данных, защищённые пользовательские и административные соединения, защиту инфраструктуры, обновления, журналирование и реагирование на инциденты. Технические копии VM и контейнеров используются в рамках внутреннего восстановления. Они не являются отдельной услугой персонального резервного архива Оператора с гарантированными RPO, RTO и глубиной хранения.

7.2. При выявлении инцидента с персональными данными Обработчик сообщает Оператору без неоправданной задержки известные сведения о событии и принятых мерах; целевой срок первичного сообщения — не позднее 12 часов с момента выявления. Завершение расследования не является условием первого сообщения. Согласованные сроки и каналы должны позволять Оператору выполнить обязательные сроки уведомления Роскомнадзора; окончательные сведения передаются по мере получения.

7.3. По мере расследования Обработчик направляет дополнительную информацию о причинах, затронутых данных, предполагаемом вреде и мерах устранения, если такая информация имеется.

7.4. Оператор обеспечивает законность сбора и инструкций, доступ только уполномоченных получателей, безопасность своих устройств, ботов, учётных записей и самостоятельного ПО. Обработчик обеспечивает конфиденциальность и безопасность той обработки и инфраструктуры, которые находятся под его управлением. Договор не переносит обязательные обязанности Обработчика на Оператора.

7.5. Обычный перерыв электропитания не равнозначен утечке данных. Если признаки инцидента с данными выявлены, применяются обязанности этого раздела независимо от базового SLA. При объективной недоступности связи Обработчик использует доступные альтернативные каналы и сообщает сведения сразу после появления возможности, не считая это освобождением от обязательных требований закона.

8. Получатели и доступы Оператора

8.1. Оператор несёт ответственность за лиц, которых он самостоятельно подключил как получателей заявок, и обязан своевременно отключать доступ лиц, которым он больше не должен предоставляться.

8.2. Обработчик не обязан проверять трудовые или гражданско-правовые отношения между Оператором и каждым подключённым получателем, если у Обработчика отсутствуют очевидные сведения о неправомерном доступе.

8.3. При компрометации ссылки привязки, integration ID, учётных данных или иного секрета Оператор обязан немедленно уведомить Обработчика и прекратить использование скомпрометированного секрета.

9. Привлечение инфраструктуры и внешних сервисов

9.1. Оператор заранее разрешает Обработчику использовать технические сервисы, без которых невозможно исполнение поручения, в том числе выбранные Оператором MAX/Telegram, сетевую инфраструктуру, DNS/SSL, резервное копирование и иные необходимые средства при условии соблюдения применимого законодательства.

9.2. Если привлечение нового лица существенно изменяет характер обработки или создаёт новую трансграничную передачу, Обработчик уведомляет Оператора либо предоставляет информацию в документации/настройках сервиса до начала такого использования, когда это практически возможно.

9.3. Обработчик остаётся обязанным перед Оператором соблюдать условия настоящего поручения в части действий, которые он осуществляет сам или через привлечённую техническую инфраструктуру, в пределах, установленных законом и договором.

10. Срок обработки, удаление и резервные копии

10.1. Пока договор и поручение действуют, данные могут храниться в системе заявок для отображения истории заявок, повторной доставки, поддержки, разрешения споров и иных целей, определённых Оператором и совместимых с поручением.

10.2. Оператор вправе дать Обработчику законную инструкцию удалить или исправить конкретные данные. Если текущий интерфейс не предусматривает самостоятельное удаление, инструкция направляется через согласованный канал поддержки.

10.3. После прекращения поручения или получения законной инструкции Оператора Обработчик прекращает соответствующую обработку и возвращает либо удаляет данные в согласованном порядке, не позднее применимого срока по закону. Если специальный срок не установлен, операционные данные удаляются не позднее 30 календарных дней; дальнейшее хранение возможно только при самостоятельном законном основании.

10.4. Данные в резервных копиях изолируются от текущего использования и удаляются по установленному циклу, согласованному с Оператором и не нарушающему обязательные сроки прекращения обработки и уничтожения. Техническая ротация не даёт права хранить данные бессрочно. После восстановления повторно исполняются ранее полученные законные инструкции об удалении.

10.5. Внутренние технические копии не гарантируют сохранение каждого сообщения, наличие внешнего географически независимого архива или определённый срок восстановления. Оператор самостоятельно обеспечивает выгрузку необходимых данных либо заказывает отдельную услугу с параметрами. Это не отменяет обязательные меры защиты и обязанности Обработчика по поручению.

11. Проверка исполнения поручения

11.1. По письменному запросу Оператора Обработчик предоставляет разумно достаточную информацию о местонахождении базы, категориях операций, мерах безопасности и привлечённых сервисах, необходимую Оператору для подтверждения исполнения его обязанностей.

11.2. Проверка не должна требовать раскрытия исходных кодов, паролей, токенов, секретных ключей, данных других клиентов либо иной информации, раскрытие которой снижает безопасность или нарушает права третьих лиц.

12. Ответственность сторон

12.1. Оператор отвечает за законность своих целей, оснований, состава данных и инструкций; за действия привлечённого обработчика перед субъектами применяется распределение ответственности, установленное законом. Обработчик отвечает перед Оператором за нарушение принятых им обязанностей и требований к порученной обработке. Прямую ответственность каждой стороны, установленную законом, соглашением исключить нельзя.

12.2. Оператор возмещает Обработчику документально подтверждённые имущественные потери и расходы, возникшие непосредственно вследствие незаконных инструкций Оператора, передачи им данных без требуемого основания или подключения им получателей/каналов с нарушением закона, кроме той части, которая вызвана нарушением обязанностей самим Обработчиком.

12.3. Условия настоящего раздела не исключают ответственность, которую закон запрещает ограничивать или перекладывать на другую сторону.

13. Срок действия и прекращение

13.1. Поручение действует с момента подключения Оператором системы заявок либо принятия договора/оферты, в состав которых включены настоящие Условия, и прекращается после прекращения соответствующей услуги и выполнения операций по удалению/возврату данных.

13.2. Если инструкция Оператора противоречит законодательству, Обработчик вправе приостановить её исполнение, уведомить Оператора и запросить изменение инструкции. В случаях очевидного риска незаконной обработки Обработчик вправе временно ограничить приём или доставку соответствующих заявок.

14. Матрица обработки заявок

15. Нормативная основа

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», в частности статьи 6, 12, 18, 18.1, 19, 21 и 22.
• Федеральный закон от 26.07.2026 № 265-ФЗ в части изменений статьи 12 Федерального закона № 152-ФЗ.