← Барт

Поручение на обработку персональных данных

Приложение к публичной оферте · редакция от … · адрес: https://bartapp.ru/legal/dpa

Поручение — неотъемлемая часть публичной оферты сервиса «Барт». Принимая оферту, Заказчик (далее — Оператор) поручает [реквизит уточняется], ИНН [реквизит уточняется] (далее — Обработчик), обрабатывать персональные данные на условиях ниже в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Термины — как в оферте.

1. Роли сторон

1.1. Оператор определяет цели обработки и состав данных, которые вносит в Сервис, и отвечает перед субъектами персональных данных (ч. 5 ст. 6 Закона). Обработчик отвечает перед Оператором.

1.2. Обработчик не обязан получать согласие субъектов (ч. 4 ст. 6 Закона). Если согласие нужно, его получает Оператор.

2. Чьи данные и какие

  • Клиенты Оператора (покупатели в рассрочку): фамилия, имя, отчество; номера телефонов; сведения о сделках — товар, цена, наценка, первый взнос, график, платежи, просрочки и долг, обещания оплатить, исходы звонков, заметки сотрудников; фото документов, которые загружает Оператор (паспорт и иные документы), со всеми сведениями на них.
  • Поручители: фамилия, имя, отчество; телефон; к какой сделке относятся; фото их документов.
  • Инвесторы Оператора: фамилия, имя, отчество; телефон; вклады, доли, начисленная прибыль, выплаты и реинвест; логин, если Оператор открыл инвестору вход.
  • Сотрудники Оператора — в той части, в какой они фигурируют в данных магазина: имя, роль, авторство записей в сделках, кассе и журнале действий.

Оператор не вносит в Сервис сведения специальных категорий (ст. 10 Закона) и биометрические персональные данные для установления личности (ст. 11 Закона). Обработчик не распознаёт лица и не извлекает автоматически сведения из фото документов.

3. Цели обработки

  • учёт сделок Оператора в рассрочку, в том числе по модели мурабахи, и платежей по ним;
  • расчёт графиков платежей, долга и просрочки, очередь обзвона клиентов;
  • учёт кассы, вкладов инвесторов и распределения прибыли;
  • хранение копий документов клиентов и поручителей, предоставленных Оператору;
  • отправка клиентам напоминаний о платежах в WhatsApp — если Оператор их включил;
  • утренняя сводка платежей и просрочек в Telegram Пользователю Оператора — если он сам подключил бота Сервиса;
  • журналирование действий Пользователей и доступа к фото документов;
  • резервное копирование, восстановление после сбоев и техническая поддержка Оператора.

4. Действия с данными

Сбор (ввод Пользователями Оператора, загрузка из Excel и фото), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) Пользователям Оператора и привлечённым обработчикам из раздела 8, в том числе трансграничная передача по разделу 7, блокирование, удаление, уничтожение. Обработка автоматизированная, с передачей по сети интернет.

5. Обязанности Обработчика

5.1. Обработчик:

  • обрабатывает данные только по поручению Оператора и только в целях раздела 3;
  • соблюдает конфиденциальность данных (ст. 7 Закона): не раскрывает и не распространяет их без согласия субъекта или иного законного основания; работники Обработчика, которым нужен доступ, берут на себя обязательство о конфиденциальности;
  • принимает меры защиты по ст. 19 Закона (раздел 6) и соблюдает требования ст. 18.1 Закона в части, применимой к лицу, обрабатывающему данные по поручению;
  • обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение данных граждан Российской Федерации с использованием баз данных на территории Российской Федерации (ч. 5 ст. 18 Закона);
  • по запросу Оператора в течение срока действия поручения в течение 10 рабочих дней предоставляет документы и сведения, подтверждающие принятые меры и соблюдение требований Закона;
  • уведомляет Оператора о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов, незамедлительно, но не позднее 24 часов с момента выявления: что произошло, какие данные и сколько субъектов затронуто, какие меры приняты. Результаты внутреннего расследования — не позднее 48 часов с момента выявления. Это нужно Оператору, чтобы в сроки ч. 3.1 ст. 21 Закона уведомить Роскомнадзор;
  • по запросу Оператора в течение 5 рабочих дней помогает ответить на обращение субъекта или Роскомнадзора: предоставляет сведения, уточняет, блокирует или уничтожает данные. Большую часть этого Оператор может сделать сам средствами Сервиса;
  • если субъект обратился напрямую к Обработчику, в течение 3 рабочих дней пересылает обращение Оператору и не отвечает по существу без его указания, кроме случаев, предусмотренных законом.

6. Меры защиты

Обработчик применяет следующие меры:

  • данные каждого магазина отделены от других: каждая запись привязана к магазину, доступ ограничивается и в коде, и политиками на уровне строк базы данных;
  • доступ Пользователей — по ролям (владелец, управляющий, продавец, обзвонщик, инвестор); роли назначает Оператор, и каждая роль видит только то, что разрешено её правами;
  • пароли хранятся только в виде стойких хешей с солью; токены входа — тоже в виде хешей; число неудачных попыток входа ограничено; cookie входа недоступна скриптам страницы;
  • соединение с Сервисом — только по HTTPS (TLS); изменяющие запросы принимаются только со страницы Сервиса;
  • фото документов перед сохранением перекодируются, метаданные (EXIF, в том числе место съёмки) удаляются; фото хранятся в базе данных в Российской Федерации; в списке показываются уменьшенные копии;
  • журнал действий: загрузка и удаление фото документа и каждое открытие полного фото записываются с автором, временем и номером сделки; журнал видит владелец магазина;
  • резервное копирование базы данных средствами хостинг-провайдера в Российской Федерации;
  • доступ работников Обработчика к базе данных — у ограниченного круга лиц и только для поддержки, устранения сбоев и исполнения запросов Оператора.

Обработчик обеспечивает 4-й уровень защищённости персональных данных при их обработке в информационной системе (Постановление Правительства РФ от 01.11.2012 № 1119).

7. Где хранятся данные и трансграничная передача

7.1. База данных Сервиса и фото документов размещены у хостинг-провайдера на серверах в Российской Федерации.

7.2. Если Оператор включил напоминания клиентам в WhatsApp, Обработчик по поручению Оператора передаёт в WhatsApp Cloud API (Meta Platforms, серверы за пределами Российской Федерации) только то, что нужно для одного сообщения: номер телефона клиента; имя клиента; номер сделки и название товара; дату и сумму платежа или просроченного долга; название и телефон магазина. Фото документов, отчество и фамилия, данные поручителей и инвесторов, иные сведения туда не передаются. Это трансграничная передача персональных данных.

7.3. Напоминания включает и выключает Оператор в настройках магазина. До включения Оператор обеспечивает законные основания трансграничной передачи — в том числе уведомление Роскомнадзора о намерении осуществлять трансграничную передачу (ст. 12 Закона) и согласие клиентов на получение напоминаний и передачу данных. Пока напоминания выключены, данные для них за пределы Российской Федерации не передаются.

7.4. Если Пользователь Оператора сам подключил Telegram-бот Сервиса (раздел «Настройки» или «На телефоне»), Обработчик передаёт через Telegram (Telegram Messenger, серверы за пределами Российской Федерации) в личный чат этого Пользователя ежедневную сводку: имена клиентов, суммы и даты платежей и просрочек, число дней просрочки, номера сделок, название магазина. Телефоны, товары, фото документов, данные поручителей и инвесторов в сводку не включаются. Подключение бота Пользователем Оператора — указание Оператора на такую передачу. Это трансграничная передача персональных данных; её законные основания, как и для напоминаний в WhatsApp (п. 7.3), обеспечивает Оператор — в том числе уведомление Роскомнадзора и согласие клиентов на передачу данных. Пока бот не подключён ни одним Пользователем Оператора, данные через Telegram не передаются; отключить его Пользователь может в Сервисе или командой /stop в Telegram.

8. Привлечённые обработчики

Оператор соглашается, что Обработчик привлекает:

  • Timeweb Cloud (ООО «Таймвэб.Клауд», ИНН 7810945525), Российская Федерация — размещение сервера и базы данных, резервные копии;
  • почта Timeweb Cloud (ООО «Таймвэб.Клауд», ИНН 7810945525), Российская Федерация — письма Пользователям (коды подтверждения, уведомления по договору); данные клиентов, поручителей и инвесторов в письма не включаются;
  • WhatsApp Cloud API (Meta Platforms), за пределами Российской Федерации — напоминания клиентам, только если Оператор их включил (раздел 7);
  • Telegram (Telegram Messenger), за пределами Российской Федерации — утренняя сводка в личный чат Пользователя Оператора, только если он сам подключил бота Сервиса: имена клиентов, суммы и даты платежей и просрочек, номера сделок, название магазина (п. 7.4).
  • Vercel (Vercel Inc.), США — сервер-посредник, через который сообщения Telegram-бота Сервиса передаются в Telegram (п. 7.4): те же данные, что в сводке; содержимое сообщений посредником не сохраняется.

О привлечении нового обработчика Обработчик уведомляет Оператора по почте не позднее чем за 30 дней; при несогласии Оператор вправе отказаться от договора.

9. Срок и прекращение

9.1. Поручение действует, пока действует договор-оферта.

9.2. После прекращения договора Обработчик хранит данные 90 календарных дней, чтобы Оператор мог получить их выгрузку, после чего уничтожает их не позднее чем через 30 дней, из резервных копий — по мере их замены, не позднее 30 дней. По требованию Оператора данные уничтожаются раньше. По запросу Оператор получает подтверждение уничтожения в форме, установленной требованиями Роскомнадзора.

9.3. Отдельное фото документа, а по требованию субъекта — все его персональные данные (ФИО, телефоны, поручителей, фото документов, заметки и тексты напоминаний) Оператор может удалить сам средствами Сервиса. Учёт сумм по сделкам субъекта при этом сохраняется обезличенным.

10. Ответственность

Обработчик отвечает перед Оператором за нарушение поручения в пределах, установленных офертой. Перед субъектами персональных данных отвечает Оператор.

Редакция от ….