Поручение на обработку персональных данных

Настоящее Поручение — часть публичной оферты Tuqo (раздел 17). Оно описывает, как Tuqo обрабатывает персональные данные посетителей сайтов Пользователя — тех, кто открывает его сайт, отправляет формы, регистрируется или оплачивает доступ. Пользователь (владелец сайта) — оператор этих данных; Tuqo — лицо, осуществляющее обработку по его поручению (ч. 3 ст. 6 Федерального закона № 152-ФЗ). Акцепт оферты означает выдачу Поручения и его принятие; отдельно подписывать ничего не нужно.

Документ написан так, чтобы его можно было цитировать в вашей политике обработки персональных данных и в уведомлении Роскомнадзора — см. раздел 8.

1. Стороны и роли

Оператор (Пользователь) — лицо, разместившее сайт на Tuqo. Он определяет цели обработки данных своих посетителей, их состав и правовые основания, отвечает перед посетителями и перед уполномоченным органом.

Обработчик (Tuqo) — Индивидуальный предприниматель Антонов Александр Викторович, ИНН 262517638904, ОГРНИП 312265133100116. Обрабатывает данные посетителей исключительно в целях и объёме Поручения, не определяя целей обработки и не используя данные в собственных интересах.

Две роли одной платформы. В отношении данных посетителей сайтов Пользователя Tuqo — обработчик по настоящему Поручению. В отношении технических журналов доступа, защиты от злоупотреблений, учёта трафика и расчётов с самим Пользователем по тарифам Tuqo действует как самостоятельный оператор — это описано в Политике конфиденциальности.

2. Предмет поручения

Обработка ведётся автоматизированным способом в следующих сценариях:

Перечень действий во всех сценариях: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение. Передача третьим лицам — только субобработчикам (раздел 4) и платёжному провайдеру Пользователя по его выбору.

Не предназначено для обработки специальных категорий персональных данных (здоровье, убеждения, интимная жизнь и т. п.), биометрических данных и данных несовершеннолетних. Пользователь не вправе собирать такие данные средствами Сервиса, а посетители — вводить их.

3. Обязанности Обработчика

1. Обрабатывать данные только в целях и объёме раздела 2, по документированным указаниям Пользователя — настройкам его сайта в панели.
2. Соблюдать конфиденциальность; не раскрывать данные третьим лицам, кроме случаев, прямо предусмотренных законом или настоящим Поручением.
3. Принимать меры, предусмотренные ст. 19 Федерального закона № 152-ФЗ: шифрование при передаче (HTTPS), разграничение доступа, хранение секретов и ключей в зашифрованном виде, псевдонимизация блокировок, журналирование доступа.
4. Хранить данные на территории Российской Федерации; трансграничную передачу не осуществлять.
5. Об инциденте, затронувшем данные посетителей, уведомить Пользователя по адресу электронной почты его аккаунта в течение 24 часов с момента выявления — с известными на этот момент сведениями, и дополнить уведомление по итогам разбора. Уведомление уполномоченного органа и субъектов — обязанность Пользователя как оператора; Обработчик предоставляет необходимые для этого сведения.
6. Запросы посетителей (доступ, уточнение, удаление, отзыв согласия), поступившие в Tuqo, перенаправлять Пользователю в течение 3 рабочих дней без передачи персональных данных заявителя иным лицам; отвечает посетителю Пользователь.
7. Уничтожать данные: при удалении участника или сайта Пользователем — сразу; по отдельному запросу Пользователя — не позднее 30 дней; при прекращении договора — в сроки Политики конфиденциальности. Записи о платежах — по истечении 3 лет с даты платежа.
8. По запросу Пользователя предоставлять сведения о принятых мерах защиты и о субобработчиках — не чаще одного раза в квартал.

4. Субобработчики

Для исполнения Поручения Обработчик привлекает поставщиков инфраструктуры, действующих по его поручению, — все они размещают данные в Российской Федерации:

• ООО «ТАЙМВЭБ.КЛАУД» (ИНН 7810945525, ОГРН 1227800052215; 420500, Республика Татарстан, г. Иннополис, ул. Университетская, д. 7, оф. 605) — серверы, базы данных и объектное хранилище файлов сайтов (Timeweb Cloud);
• платёжный провайдер (Т-Банк или ЮKassa) в режиме «Платный доступ» — по договору самого Пользователя: он обрабатывает данные покупателя как самостоятельный оператор; Обработчик лишь передаёт ему сведения, необходимые для платежа и чека.

Письма Сервиса (коды входа, уведомления, автоответы от имени сайтов) отправляются с собственного почтового сервера Обработчика — сторонний почтовый сервис не привлекается.

Смена или добавление субобработчика — с уведомлением Пользователей по электронной почте не менее чем за 15 дней; Пользователь, не согласный с изменением, вправе прекратить использование Сервиса. Актуальные реквизиты субобработчиков — в Политике конфиденциальности, раздел 5.

5. Обязанности Оператора (Пользователя)

1. Иметь правовое основание для обработки данных своих посетителей и подтверждать его по запросу Обработчика.
2. Информировать посетителей об обработке: разместить на сайте собственную политику обработки персональных данных и, при регистрации или оплате, свои документы (оферту, условия) — Сервис показывает их на экране входа и фиксирует согласие с ними. Готовые шаблоны — генератор в панели; они носят рекомендательный характер.
3. Указать в уведомлении Роскомнадзора обработку по поручению и обработчика (раздел 8), если Пользователь обязан подавать уведомление.
4. Использовать данные участников и покупателей только для предоставления доступа, исполнения обязательств и рассмотрения обращений; рассылки рекламного характера — только на основании отдельного согласия, полученного Пользователем самостоятельно (Федеральный закон «О рекламе»). Сервис отправляет посетителям только служебные сообщения: коды входа, уведомления о статусе доступа и об оплате.
5. Отвечать на обращения посетителей и покупателей; не собирать средствами Сервиса данные, указанные в разделе 2 как не предназначенные для обработки.
6. Самостоятельно нести ответственность перед посетителями и уполномоченным органом за законность обработки; возмещать Обработчику убытки, возникшие из-за нарушения этих обязанностей.

6. Ответственность

Обработчик отвечает перед Пользователем за нарушение обязанностей раздела 3 в пределах, установленных офертой (раздел 12). За законность обработки, наличие оснований и согласий, состав собираемых данных и содержание документов Пользователя Обработчик ответственности не несёт.

7. Срок действия

Поручение действует в течение срока действия договора по оферте. При удалении аккаунта или сайта Пользователем обработка соответствующих данных прекращается, данные уничтожаются в порядке раздела 3.

8. Текст для вашей политики и уведомления в Роскомнадзор

Абзац, который можно включить в политику обработки персональных данных вашего сайта:

«Для размещения сайта, приёма заявок, регистрации и входа посетителей Оператор поручает обработку персональных данных Индивидуальный предприниматель Антонов Александр Викторович (ИНН 262517638904, сервис Tuqo, https://tuqo.ru) в объёме, необходимом для работы сайта: хранение адреса электронной почты, имени и снимка согласий, отправка кодов входа и служебных уведомлений от имени сайта, ведение технических журналов. Условия обработки по поручению — https://tuqo.ru/legal/dpa/. Данные хранятся на территории Российской Федерации.»

В уведомлении Роскомнадзора (если вы обязаны его подавать) укажите «передачу» как один из способов обработки и приведите обработчика по поручению: Индивидуальный предприниматель Антонов Александр Викторович, ИНН 262517638904; место обработки — центры обработки данных поставщика инфраструктуры ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud) на территории Российской Федерации.

9. Связанные документы

Публичная оферта (разделы 17–18), Политика конфиденциальности, Условия Tuqo для посетителей, Политика использования cookie.