Поручение на обработку персональных данных

Настоящее Поручение — часть публичной оферты Tuqo (раздел 17). Оно описывает, как Tuqo обрабатывает персональные данные посетителей сайтов Пользователя — тех, кто открывает его сайт, отправляет формы, входит на закрытый сайт или оплачивает доступ, — а также иных лиц, чьи данные Пользователь сам размещает или обрабатывает средствами Сервиса (например, в файлах сайта или в списке адресов для входа; далее вместе — субъекты). Пользователь (владелец сайта) — оператор этих данных; Tuqo — лицо, осуществляющее обработку по его поручению (ч. 3 ст. 6 Федерального закона № 152-ФЗ). Акцепт оферты означает выдачу Поручения и его принятие; отдельно подписывать ничего не нужно.

Документ написан так, чтобы его можно было цитировать в вашей политике обработки персональных данных и в уведомлении Роскомнадзора — см. раздел 8.

1. Стороны и роли

Оператор (Пользователь) — лицо, разместившее сайт на Tuqo. Он определяет цели обработки данных субъектов, их состав и правовые основания, отвечает перед субъектами и перед уполномоченным органом.

Обработчик (Tuqo) — Индивидуальный предприниматель Антонов Александр Викторович, ИНН 262517638904, ОГРНИП 312265133100116. Обрабатывает данные субъектов исключительно в целях и объёме Поручения, не определяя целей обработки и не используя данные в собственных интересах.

Две роли одной платформы. В отношении данных субъектов Tuqo — обработчик по настоящему Поручению. В отношении технических журналов доступа, защиты от злоупотреблений, учёта трафика и расчётов с самим Пользователем по тарифам Tuqo действует как самостоятельный оператор — это описано в Политике конфиденциальности.

2. Предмет поручения

Обработка ведётся автоматизированным способом в следующих сценариях:

Перечень действий во всех сценариях: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, предоставление доступа (выдача содержимого сайта в режиме доступа, выбранном Пользователем), обезличивание, блокирование, удаление, уничтожение. Передача третьим лицам — только в случаях раздела 4 по выбору Пользователя, а также в случаях, прямо предусмотренных законом.

Не предназначено для обработки специальных категорий персональных данных (здоровье, убеждения, интимная жизнь и т. п.), биометрических данных и данных несовершеннолетних. Пользователь не вправе собирать такие данные средствами Сервиса, а посетители — вводить их. Аттестация информационной системы Сервиса не проводится, сертифицированные средства защиты информации не применяются.

Содержимое сайтов. Обработчик не просматривает, не анализирует и не извлекает персональные данные из содержимого сайтов Пользователя, за исключением случаев, когда это необходимо: для ответа на обращение Пользователя в поддержку — в объёме обращения; для автоматических проверок публикаций на вредоносный код, фишинг и нарушения правил Сервиса; для рассмотрения жалобы или требования уполномоченного органа. Правовое основание размещения таких данных, в том числе согласие субъекта на их распространение (ст. 10.1 Федерального закона № 152-ФЗ), обеспечивает Пользователь.

3. Обязанности Обработчика

1. Обрабатывать данные только в целях и объёме раздела 2, по документированным указаниям Пользователя — настройкам его сайта в панели.
2. Соблюдать конфиденциальность; не раскрывать данные третьим лицам, кроме случаев, прямо предусмотренных законом или настоящим Поручением.
3. Принимать меры, предусмотренные ст. 19 Федерального закона № 152-ФЗ: шифрование при передаче (HTTPS), разграничение доступа, хранение секретов и ключей в зашифрованном виде, псевдонимизация блокировок, журналирование доступа.
4. Хранить данные на территории Российской Федерации; трансграничную передачу не осуществлять, за исключением доставки заявок и проверки подписки посетителей через мессенджер Telegram, оператор которого находится за рубежом, если их включил Пользователь: они выполняются по его указанию как оператора (раздел 5).
5. Об инциденте, затронувшем данные субъектов, уведомить Пользователя по адресу электронной почты его аккаунта в течение 24 часов с момента выявления — с известными на этот момент сведениями, и дополнить уведомление по итогам разбора. Уведомление уполномоченного органа и субъектов — обязанность Пользователя как оператора; Обработчик предоставляет необходимые для этого сведения.
6. Запросы субъектов (доступ, уточнение, удаление, отзыв согласия), поступившие в Tuqo, перенаправлять Пользователю в течение 3 рабочих дней без передачи персональных данных заявителя иным лицам; отвечает заявителю Пользователь.
7. Уничтожать данные: при удалении участника или адреса из списка — в рабочей системе сразу; при удалении сайта — по истечении срока, в который его можно восстановить из корзины (24 часа; если сайт убран за неоплату — 7 дней); в резервных копиях — не позднее 30 дней после удаления из рабочей системы (копии уничтожаются автоматически; до уничтожения данные в них заблокированы и используются только для восстановления Сервиса после сбоя, а при восстановлении из копии ранее удалённые данные удаляются повторно); по отдельному запросу Пользователя — не позднее 30 дней; при прекращении договора — в сроки Политики конфиденциальности. Записи о платежах — по истечении 3 лет с даты платежа.
8. По запросу Пользователя предоставлять сведения о принятых мерах защиты и о поставщиках инфраструктуры — не чаще одного раза в квартал.

4. Инфраструктура и третьи лица

Обработку по настоящему Поручению осуществляет сам Обработчик с использованием арендуемой вычислительной инфраструктуры, размещённой в Российской Федерации. Поставщики инфраструктуры предоставляют Обработчику серверы и хранилища, персональные данные по поручению не обрабатывают, доступа к содержимому, кроме технологического, не имеют и в своих целях его не используют. За обработку на этой инфраструктуре перед Пользователем отвечает Обработчик.

• ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud; ИНН 7810945525, ОГРН 1227800052215; 420500, Республика Татарстан, г. Иннополис, ул. Университетская, д. 7, оф. 605) — серверы, базы данных и объектное хранилище файлов сайтов в центрах обработки данных в Москве и Санкт-Петербурге;
• ООО «Облачные технологии» (Cloud.ru; ИНН 7736279160, ОГРН 5167746080057; 117312, г. Москва, ул. Вавилова, д. 23, стр. 1, комн. 1.207) — хранилище резервных копий: копии базы данных — в зашифрованном виде, копии файлов сайтов — в закрытом хранилище без публичного доступа; копии уничтожаются автоматически в сроки раздела 3.

Иным лицам данные передаются только по выбору Пользователя: его платёжному провайдеру (Т-Банк или ЮKassa) в режиме «Платный доступ» — он обрабатывает данные покупателя по договору с Пользователем как самостоятельный оператор, Обработчик лишь передаёт сведения, необходимые для платежа и чека; получателям заявок и уведомлений — на электронную почту и в мессенджеры Telegram и MAX, которые Пользователь подключил сам. Эти лица не являются субобработчиками Обработчика; сообщения хранятся у получателя по правилам выбранных Пользователем сервисов.

Письма Сервиса (коды входа, уведомления, автоответы от имени сайтов) отправляются с собственного почтового сервера Обработчика — сторонний почтовый сервис не привлекается.

Обработчик вправе привлекать поставщиков инфраструктуры и лиц, обрабатывающих данные по его поручению, без согласования с Пользователем — при условии хранения данных в Российской Федерации и соблюдения ими требований конфиденциальности и защиты не ниже установленных настоящим Поручением. За их действия перед Пользователем отвечает Обработчик. Актуальный перечень поставщиков приводится в настоящем разделе и в Политике конфиденциальности.

5. Обязанности Оператора (Пользователя)

1. Иметь правовое основание для обработки данных субъектов и подтверждать его по запросу Обработчика.
2. Информировать посетителей об обработке: разместить на сайте собственную политику обработки персональных данных и, при регистрации или оплате, свои документы (оферту, условия) — Сервис показывает их на экране входа и фиксирует согласие с ними. Готовые шаблоны — генератор в панели; они носят рекомендательный характер.
3. Указать в уведомлении Роскомнадзора обработку по поручению и обработчика (раздел 8), если Пользователь обязан подавать уведомление.
4. Использовать данные участников и покупателей только для предоставления доступа, исполнения обязательств и рассмотрения обращений; рассылки рекламного характера — только на основании отдельного согласия, полученного Пользователем самостоятельно (Федеральный закон «О рекламе»). Сервис отправляет посетителям только служебные сообщения: коды входа, уведомления о статусе доступа и об оплате.
5. Отвечать на обращения посетителей и покупателей; не собирать средствами Сервиса данные, указанные в разделе 2 как не предназначенные для обработки.
6. Самостоятельно решать, размещать ли персональные данные в содержимом сайта и какой режим доступа к нему установить. Размещение персональных данных третьих лиц на сайте без ограничения доступа — решение и ответственность Пользователя; Сервис содержимое не проверяет.
7. Доставку заявок в Telegram и проверку подписки посетителей через Telegram Пользователь включает сам; включая их, он поручает Обработчику передавать в Telegram содержимое заявок и сведения, необходимые для проверки подписки. Это трансграничная передача персональных данных, и обязанности оператора по ст. 12 Федерального закона № 152-ФЗ (уведомление уполномоченного органа, информирование посетителей) Пользователь выполняет самостоятельно; Обработчик оператором такой передачи не является. Заявка сначала сохраняется в базе данных Сервиса в Российской Федерации, в Telegram направляется её копия.
8. Самостоятельно нести ответственность перед субъектами и уполномоченным органом за законность обработки; возмещать Обработчику убытки, возникшие из-за нарушения этих обязанностей.

6. Ответственность

Обработчик отвечает перед Пользователем за нарушение обязанностей раздела 3 в пределах, установленных офертой (раздел 12). За законность обработки, наличие оснований и согласий, состав собираемых данных и содержание документов Пользователя Обработчик ответственности не несёт.

7. Срок действия

Поручение действует в течение срока действия договора по оферте. При удалении аккаунта или сайта Пользователем обработка соответствующих данных прекращается, данные уничтожаются в порядке раздела 3.

8. Текст для вашей политики и уведомления в Роскомнадзор

Абзац, который можно включить в политику обработки персональных данных вашего сайта:

«Для размещения сайта, приёма заявок, регистрации и входа посетителей Оператор поручает обработку персональных данных Индивидуальный предприниматель Антонов Александр Викторович (ИНН 262517638904, сервис Tuqo, https://tuqo.ru) в объёме, необходимом для работы сайта: хранение размещённых на сайте материалов, адреса электронной почты, имени и снимка согласий, отправка кодов входа и служебных уведомлений от имени сайта, ведение технических журналов. Условия обработки по поручению — https://tuqo.ru/legal/dpa/. Данные хранятся на территории Российской Федерации.»

В уведомлении Роскомнадзора (если вы обязаны его подавать) укажите «передачу» как один из способов обработки и приведите обработчика по поручению: Индивидуальный предприниматель Антонов Александр Викторович, ИНН 262517638904; место обработки — центры обработки данных поставщика инфраструктуры ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud) в Москве и Санкт-Петербурге, резервные копии — ООО «Облачные технологии» (Cloud.ru), Российская Федерация. Если вы включили доставку заявок или проверку подписки через Telegram, укажите в политике и уведомлении и трансграничную передачу в Telegram — фраза «данные хранятся на территории Российской Федерации» в абзаце выше тогда должна это оговаривать.

9. Связанные документы

Публичная оферта (разделы 17–18), Политика конфиденциальности, Условия Tuqo для посетителей, Политика использования cookie.