Auftragsverarbeitungsvertrag

1. Стороны и предмет

Настоящее Соглашение является частью Публичной оферты и применяется, когда Заказчик — юридическое лицо или индивидуальный предприниматель — использует Сервис для ведения учёта с привлечением своих работников или иных лиц, чьи персональные данные при этом обрабатываются.

• Заказчик — оператор персональных данных (ст. 3 152-ФЗ). Он определяет цели и состав обрабатываемых данных, получает согласия субъектов и отвечает перед ними.
• Исполнитель — Кононенко Евгений Петрович, ИНН 504906403835 — лицо, осуществляющее обработку персональных данных по поручению оператора (ч. 3 ст. 6 152-ФЗ).

Заказчик поручает, а Исполнитель принимает на себя обязательство обрабатывать персональные данные на условиях настоящего Соглашения.

Если Исполнитель выступает оператором (обычные пользовательские учётные записи физических лиц), применяется Политика обработки персональных данных, а не настоящее Соглашение. При противоречии между офертой и настоящим Соглашением в части обработки персональных данных приоритет имеет настоящее Соглашение.

2. Термины

Термины «персональные данные», «обработка», «оператор», «субъект персональных данных», «уничтожение», «обезличивание» используются в значениях Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

3. Условия поручения (ч. 3 ст. 6 Закона)

Существенные условия поручения — цели обработки, перечень действий с персональными данными, перечень данных и категории субъектов — определены в Приложении 1 и являются неотъемлемой частью настоящего Соглашения.

Исполнитель обрабатывает персональные данные исключительно в объёме и целях, определённых поручением, и не вправе использовать их в собственных целях. Исполнитель не обязан получать согласие субъектов персональных данных на обработку — обязанность получить такое согласие и обеспечить его правомерность лежит на Заказчике.

4. Обязанности Исполнителя

Исполнитель обязуется:

1. обрабатывать персональные данные только по документированному поручению Заказчика (настоящее Соглашение, оферта и действия Заказчика в Сервисе) и уведомлять Заказчика, если поручение противоречит Закону;
2. соблюдать конфиденциальность персональных данных и не раскрывать их третьим лицам, кроме случаев, предусмотренных федеральным законом и настоящим Соглашением;
3. обеспечивать безопасность персональных данных при их обработке — принимать меры, предусмотренные ст. 19 Закона, в объёме, указанном в Приложении 3;
4. обеспечивать локализацию: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона);
5. привлекать иных лиц к обработке только на условиях §5 и в объёме Приложения 2;
6. содействовать Заказчику в ответах на обращения субъектов персональных данных (доступ, уточнение, блокирование, уничтожение, отзыв согласия) — в том числе штатными средствами Сервиса: выгрузка данных, редактирование и удаление записей, удаление учётной записи;
7. уведомлять Заказчика об инцидентах в порядке §7;
8. по прекращении обработки уничтожить или возвратить персональные данные в порядке §8;
9. по запросу Заказчика предоставлять сведения, необходимые для подтверждения соблюдения требований Закона (§9).

5. Привлечение иных лиц (субобработчики)

Заказчик даёт общее согласие на привлечение Исполнителем лиц, указанных в Приложении 2. Исполнитель возлагает на каждое такое лицо обязательства, не менее строгие, чем предусмотренные настоящим Соглашением, и отвечает перед Заказчиком за их действия как за свои собственные.

Об изменении состава привлекаемых лиц Исполнитель уведомляет Заказчика не менее чем за 30 дней. Заказчик вправе в этот срок заявить мотивированное возражение; при недостижении согласия Заказчик вправе отказаться от договора без штрафных санкций и получить возврат за неиспользованный период.

6. Локализация и трансграничная передача

Все персональные данные, обрабатываемые по настоящему поручению, размещаются в инфраструктуре на территории Российской Федерации (Приложение 2). AI-обработка (голос, распознавание чеков, подсказки), доставка электронной почты, мониторинг ошибок и резервные копии территорию Российской Федерации не покидают.

Единственная трансграничная передача — доставка push-уведомлений на мобильные устройства через службы Google (FCM) и Apple (APNs), США: передаются токен устройства и обезличенный текст уведомления («у вас новое уведомление»), без сумм, описаний операций, контрагентов и остатков. Push-уведомления отключаются пользователем и Заказчиком — тогда трансграничная передача не производится.

Заказчик уведомлён об этой передаче и учитывает её в собственном уведомлении Роскомнадзора (ст. 12 Закона) либо запрещает push-уведомления для своих пользователей.

7. Инциденты (утечка, неправомерный доступ)

Исполнитель уведомляет Заказчика о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных незамедлительно, но не позднее 24 часов с момента выявления — с информацией, необходимой Заказчику для исполнения его собственной обязанности уведомить Роскомнадзор (ч. 3.1 ст. 21 Закона: 24 часа — о факте, 72 часа — о результатах внутреннего расследования), — и содействует внутреннему расследованию.

8. Возврат и уничтожение персональных данных

По достижении целей обработки, по требованию Заказчика или при прекращении договора Исполнитель, по выбору Заказчика, возвращает персональные данные (в машиночитаемом формате) или уничтожает их — в срок 30 дней, за исключением данных, которые Исполнитель обязан хранить по закону (сведения о платежах и налоговом учёте).

Факт уничтожения подтверждается актом об уничтожении персональных данных с приложением выгрузки из журнала регистрации событий (Приказ Роскомнадзора № 179 от 28.10.2022). Копия акта направляется Заказчику по его запросу.

Штатные возможности Сервиса (безвозвратное удаление учётной записи и данных команды, бесплатная выгрузка) доступны Заказчику в любой момент.

9. Подтверждение соблюдения требований

По мотивированному запросу Заказчика Исполнитель предоставляет сведения о принятых мерах защиты (Приложение 3), составе привлекаемых лиц и порядке обработки — не чаще одного раза в год, а также в случае инцидента или требования уполномоченного органа. Проверка не должна нарушать конфиденциальность данных других клиентов и безопасность Сервиса. Стороны вправе согласовать проведение проверки с привлечением независимого аудитора, связанного обязательством конфиденциальности.

10. Ответственность

Перед субъектами персональных данных отвечает Заказчик как оператор; Исполнитель отвечает перед Заказчиком (ч. 5 ст. 6 Закона).

Ответственность сторон определяется законодательством Российской Федерации; ограничения ответственности, предусмотренные офертой, применяются в части, не противоречащей императивным нормам. Ничто в настоящем Соглашении не ограничивает обязанности сторон перед субъектами персональных данных и уполномоченными органами.

Приложение 1 — Условия поручения

• Цели обработки: оказание Заказчику услуг Сервиса — ведение учёта финансовых записей, предоставление доступа пользователям Заказчика, обеспечение безопасности учётных записей, оплата подписки; при включении соответствующих функций — распознавание голосового ввода и чеков, подсказки по категориям и аналитика.
• Перечень действий (операций): сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам из Приложения 2, обезличивание, блокирование, удаление, уничтожение — смешанным способом (с использованием средств автоматизации и без).
• Перечень персональных данных: адрес электронной почты, отображаемое имя, язык интерфейса, роль в команде, пароль (в виде хеша); финансовые записи (суммы, валюты, даты, категории, контрагенты, комментарии, названия счетов); технические данные (IP-адрес, тип устройства и ОС, журналы событий); токен push-уведомлений (при включённых push); при использовании соответствующих функций — голосовые записи и изображения чеков (не хранятся, удаляются после распознавания); записи о согласиях.
• Категории субъектов: работники Заказчика и иные лица, которым Заказчик предоставил доступ к своим командам в Сервисе.
• Срок обработки: срок действия договора с Заказчиком и сроки, установленные законом для хранения платёжных и налоговых сведений.
• Специальные и биометрические категории персональных данных не обрабатываются. Голосовые записи обрабатываются исключительно для распознавания содержания речи, а не для установления личности; режим ст. 11 Закона к ним не применяется. Заказчик обязуется не размещать в Сервисе сведения специальных категорий.

Приложение 2 — Лица, привлекаемые к обработке

Мониторинг ошибок ведётся на собственном сервере Исполнителя в Российской Федерации с автоматической очисткой персональных и финансовых данных; сторонние сервисы мониторинга не привлекаются.

Приложение 3 — Меры обеспечения безопасности (ст. 19 Закона)

• шифрование персональных данных при передаче (TLS) и при хранении, включая резервные копии и вложения;
• хранение паролей только в виде необратимого хеша; поддержка двухфакторной аутентификации;
• разграничение доступа по ролям и командам с проверкой прав на стороне сервера; принцип наименьших привилегий для административного доступа;
• регистрация событий и действий пользователей (журналирование), позволяющая выявлять факты несанкционированного доступа;
• автоматическая очистка отчётов об ошибках от персональных и финансовых данных; мониторинг — на собственном сервере в Российской Федерации;
• минимизация состава данных, передаваемых привлекаемым лицам; немедленное удаление голосовых записей и изображений чеков после распознавания;
• резервное копирование с шифрованием и контролем восстановления;
• регулярное обновление компонентов и устранение уязвимостей;
• определение угроз безопасности и применение мер, соответствующих установленному уровню защищённости информационной системы уровень определяется в соответствии с ПП РФ № 1119.