Поручение на обработку персональных данных
PLANDO_LEGAL_NAME, PLANDO_LEGAL_TAX_ID,
PLANDO_LEGAL_ADDRESS в .env.
Настоящее Приложение определяет условия обработки персональных данных, которую [не заполнено: operator_name] (далее — Уполномоченное лицо) осуществляет по поручению Лицензиата (далее — Оператор), и содержит условия, предусмотренные статьёй 7 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон).
1. Распределение ролей
1.1. В отношении персональных данных Клиентов Лицензиата и иных субъектов, сведения о которых Оператор вносит в Программу, оператором персональных данных является Лицензиат. Он определяет цели обработки, состав обрабатываемых данных и правовые основания обработки.
1.2. Уполномоченным лицом является Лицензиар. Он обрабатывает персональные данные исключительно по поручению Оператора в объёме, установленном настоящим Приложением, и не определяет самостоятельно цели такой обработки.
1.3. В соответствии со статьёй 7 Закона ответственность перед субъектом персональных данных за действия Уполномоченного лица несёт Оператор. Уполномоченное лицо несёт ответственность перед Оператором в соответствии с настоящим Приложением и договором.
1.4. Уполномоченное лицо не обязано получать согласие субъектов персональных данных на обработку. Получение согласий и информирование субъектов — обязанность Оператора.
2. Цели обработки
Уполномоченное лицо обрабатывает персональные данные исключительно в следующих целях:
- предоставление Оператору функциональных возможностей Программы: ведение учёта клиентов, записей на занятия и услуги, абонементов, продаж, расписания, складского и кассового учёта;
- приём заявок от Клиентов Оператора через страницу онлайн-записи Оператора и передача их в учётную запись Оператора;
- направление Клиентам Оператора уведомлений от имени и по поручению Оператора (подтверждение и напоминание о записи, отмена, иные сервисные сообщения);
- формирование для Оператора аналитической и отчётной информации по его собственным данным;
- обеспечение работоспособности, безопасности и восстановления данных Оператора, включая резервное копирование и расследование инцидентов;
- оказание Оператору технической поддержки по его обращению.
Обработка в любых иных целях, включая собственные маркетинговые цели Уполномоченного лица, объединение данных разных Операторов и передачу данных третьим лицам для их самостоятельных целей, не допускается.
3. Категории субъектов и перечень персональных данных
3.1. Категории субъектов: клиенты Оператора; работники Оператора, которым предоставлен доступ к Программе; иные лица, сведения о которых Оператор вносит в Программу.
3.2. Перечень обрабатываемых персональных данных:
| Категория | Состав |
|---|---|
| Идентификационные | фамилия, имя, отчество (при наличии), пол, дата рождения |
| Контактные | номер телефона, адрес электронной почты, идентификатор в мессенджере |
| Учётные | сведения о записях, посещениях, абонементах, покупках, платежах, задолженности |
| Дополнительные | заметки, вносимые Оператором, включая сведения, относящиеся к специальным персональным данным (о состоянии здоровья), при условии наличия у Оператора соответствующего согласия |
| Технические | IP-адрес, сведения об устройстве и браузере, дата и время обращения |
3.3. Оператор самостоятельно определяет, вносить ли в Программу специальные персональные данные, и несёт ответственность за наличие правового основания для их обработки. Уполномоченное лицо обеспечивает для таких сведений применение мер защиты, предусмотренных разделом 6.
4. Перечень действий с персональными данными
Уполномоченное лицо совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование в целях раздела 2, обезличивание, блокирование, удаление, уничтожение, а также предоставление данных Оператору и привлечённым лицам, указанным в разделе 5.
Уполномоченное лицо не осуществляет распространение персональных данных.
5. Привлечение иных лиц
5.1. Оператор даёт Уполномоченному лицу общее согласие на привлечение третьих лиц для обеспечения работы Программы по следующим направлениям:
| Направление | Обрабатываемые данные |
|---|---|
| размещение серверов и резервных копий (Республика Беларусь) | все данные учётной записи организации |
| отправка SMS-сообщений | номер телефона, текст сообщения |
| отправка электронной почты | адрес электронной почты, текст сообщения |
| доставка сообщений в мессенджеры | идентификатор получателя, текст сообщения |
5.2. С каждым привлечённым лицом Уполномоченное лицо заключает договор, содержащий условия не менее строгие, чем предусмотренные настоящим Приложением. Ответственность перед Оператором за действия привлечённых лиц несёт Уполномоченное лицо.
5.3. Актуальный перечень привлечённых лиц предоставляется Оператору по запросу. Об изменении состава привлечённых лиц Уполномоченное лицо уведомляет Оператора не менее чем за 15 календарных дней. При несогласии Оператор вправе отказаться от договора.
5.4. Хранение и обработка данных осуществляются на территории Республики Беларусь. Если Оператор или его Клиент выбрал получение уведомлений через мессенджер, доставка таких сообщений выполняется средствами соответствующего мессенджера, инфраструктура которого может находиться за пределами Республики Беларусь; в сообщение включается минимально необходимый объём сведений. Оператор вправе отключить этот канал в настройках Программы.
6. Обязанности по обеспечению конфиденциальности и защиты
6.1. Уполномоченное лицо обязуется обеспечивать конфиденциальность персональных данных: не раскрывать их третьим лицам и не распространять без поручения Оператора, за исключением случаев, предусмотренных законодательными актами.
6.2. К обработке допускаются только работники Уполномоченного лица, которым это необходимо для выполнения трудовых обязанностей и которые приняли обязательство о неразглашении. Ведётся перечень таких работников.
6.3. Уполномоченное лицо применяет следующие меры защиты (статьи 16, 17 Закона):
- назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
- утверждённое Положение о порядке обработки персональных данных и локальные акты, определяющие правила доступа;
- передача данных по сети с использованием защищённого протокола (TLS);
- шифрование в базе данных персональных данных повышенной чувствительности (номера телефонов, заметки о клиентах) с использованием отдельного ключа;
- разграничение прав доступа работников Оператора по ролям, устанавливаемым самим Оператором;
- доступ работников технической поддержки Уполномоченного лица к данным учётной записи организации — только по обращению Оператора либо для устранения неисправности, с фиксацией основания и протоколированием совершённых действий; сведения о таких сеансах доступны Оператору в Программе;
- ведение журнала действий, изменяющих данные, с указанием пользователя, времени и содержания изменения;
- регулярное резервное копирование с шифрованием резервных копий и периодической проверкой восстановления;
- ограничение состава сведений, попадающих в системные журналы: пароли и содержимое защищаемых полей в них не записываются.
6.4. Уполномоченное лицо предоставляет Оператору по его запросу сведения и документы, подтверждающие соблюдение требований настоящего Приложения, в течение 15 рабочих дней с даты получения запроса.
7. Нарушения систем защиты
7.1. При выявлении нарушения системы защиты персональных данных (утрата, несанкционированный доступ, уничтожение, изменение, разглашение) Уполномоченное лицо уведомляет Оператора не позднее 24 часов с момента обнаружения, направив сообщение по адресу электронной почты, указанному в учётной записи организации, и разместив уведомление в Программе.
7.2. Уведомление содержит: описание характера нарушения, категории и примерное количество затронутых субъектов и записей, вероятные последствия, принятые и предлагаемые меры, контактные данные ответственного лица.
7.3. Уполномоченное лицо оказывает Оператору содействие в исполнении обязанности по уведомлению Национального центра защиты персональных данных и субъектов персональных данных, включая предоставление сведений об объёме затронутых данных.
7.4. Уведомление уполномоченного государственного органа в отношении данных, оператором которых является Лицензиат, осуществляет Лицензиат.
8. Содействие в реализации прав субъектов
8.1. Обращения субъектов персональных данных рассматривает Оператор.
8.2. Если обращение поступило непосредственно Уполномоченному лицу, оно переадресуется Оператору в течение 3 рабочих дней с уведомлением заявителя.
8.3. Уполномоченное лицо обеспечивает Оператору технические возможности для исполнения требований субъектов: выгрузку сведений о субъекте, внесение изменений, обезличивание данных клиента с сохранением учётной и финансовой истории, прекращение направления сообщений при отзыве согласия.
9. Срок обработки и судьба данных
9.1. Обработка осуществляется в течение срока действия договора.
9.2. При прекращении договора применяется порядок, установленный пунктом 9.5 договора: возможность выгрузки в течение 30 календарных дней, последующее удаление данных, удаление из резервных копий по мере их плановой ротации в срок не более 12 месяцев.
9.3. По письменному требованию Оператора удаление производится ранее указанного срока. Факт удаления подтверждается по запросу Оператора.
9.4. Уполномоченное лицо вправе сохранить обезличенные сведения, не позволяющие идентифицировать субъектов, а также документы, срок хранения которых установлен законодательством.
10. Заверения Оператора
Оператор подтверждает наличие правовых оснований обработки и исполнение обязанностей, предусмотренных разделом 7 договора. При предъявлении к Уполномоченному лицу требований, связанных с отсутствием у Оператора правового основания обработки либо с недостоверностью его заверений, Оператор возмещает Уполномоченному лицу причинённые убытки.