Поручение на обработку персональных данных (DPA)

Приложение к публичной оферте. Версия 1.0.0 от {{EFFECTIVE_DATE}}.

Оператор: Клиент (организация или ИП, акцептовавший оферту) — далее Оператор. Обработчик: {{COMPANY_NAME}}, ОГРН {{OGRN}}, ИНН {{INN}}, адрес: {{LEGAL_ADDRESS}} — далее Обработчик.

1. Когда применяется#

Поручение действует, когда в данных, внесённых Оператором или его Пользователями в Сервис, либо в ответах ИИ, собранных Сервисом для Оператора, содержатся ПДн (например, имя владельца бренда или упомянутого в ответе человека, имена и email сотрудников Оператора, чьи данные Оператор внёс в рабочее пространство). Оператор обязан не вносить ПДн в вопросы и факты (см. AUP); если это произошло, поручение распространяется на такие данные.

Данные учётных записей Пользователей Обработчик обрабатывает как самостоятельный оператор по Политике; настоящее поручение их не затрагивает, кроме случаев, когда Оператор сам вносит в рабочее пространство ПДн своих сотрудников сверх необходимого для доступа.

2. Предмет, цели, срок#

2.1. Предмет и цель: обработка ПДн исключительно для оказания Оператору услуг по договору (хранение, анализ и отображение данных измерений видимости бренда, сопровождение, безопасность).

2.2. Срок: с момента акцепта оферты до прекращения договора плюс срок хранения по п. 15.3 оферты и до удаления данных по разделу 8.

2.3. Правовое основание поручения: ч. 3 ст. 6 152-ФЗ.

3. Характер обработки, категории данных и субъектов#

4. Обязанности Обработчика#

4.1. Обрабатывать ПДн только по документированным указаниям Оператора (договор, оферта, настройки в кабинете, письменные запросы), не в своих целях и не передавать иначе, чем по разделу 7.

4.2. Соблюдать конфиденциальность ПДн; обеспечить, чтобы доступ имели только лица, которым он нужен для оказания услуги и которые обязаны соблюдать конфиденциальность.

4.3. Принимать правовые, организационные и технические меры по ст. 19 152-ФЗ (раздел 6).

4.4. Хранить ПДн граждан РФ в базах на территории РФ (ч. 5 ст. 18 152-ФЗ). Трансграничная передача по поручению не осуществляется, кроме случая, прямо выбранного Оператором, при условии соблюдения ст. 12 152-ФЗ Оператором {{CROSS_BORDER_DPA_NOTE}}.

4.5. По запросу Оператора предоставлять документы и сведения, подтверждающие принятие мер по настоящему поручению, и содействовать проверкам в разумном порядке (не чаще раза в год, если иное не вызвано инцидентом; за счёт Оператора; без раскрытия данных других клиентов).

4.6. Не вправе требовать от субъекта согласия; ответственность перед субъектом несёт Оператор, ответственность Обработчика — перед Оператором (ч. 5 ст. 6 152-ФЗ — сверить).

5. Обязанности Оператора#

5.1. Иметь правовое основание для передачи ПДн Обработчику и обработки; при необходимости получать согласия субъектов и уведомлять Роскомнадзор.

5.2. Не вносить в Сервис ПДн сверх необходимого, специальные категории и биометрию.

5.3. Самостоятельно рассматривать обращения субъектов и сообщать Обработчику о необходимых действиях.

5.4. Указывать верную контактную почту для уведомлений об инцидентах.

6. Меры безопасности#

Меры на дату версии (подробнее — раздел 10 Политики):

• шифрование соединений (TLS) на внешнем периметре;
• хранение паролей в виде хэша argon2id; ограничение попыток входа; сессии с ограниченным сроком, отзыв при смене пароля;
• разграничение доступа по ролям внутри рабочего пространства Оператора;
• изоляция данных клиентов: идентификатор клиента в каждой записи и ключе, фильтрация на сервере;
• журнал аудита действий (вход, роли, приглашения, проекты, запуски, удаление, оплата), доступный owner/admin Оператора;
• принцип наименьших привилегий для служебных компонентов {{LEAST_PRIVILEGE_STATUS}};
• удаление данных проекта и рабочего пространства, в том числе из объектного хранилища, аналитической БД и поискового индекса;
• резервное копирование с ограниченным сроком хранения;
• организационные меры: назначенный ответственный, ограниченный доступ сотрудников, процедура реагирования на инциденты {{ORG_MEASURES_STATUS}}.

Обработчик вправе обновлять меры, не снижая уровень защиты.

7. Субпроцессоры#

7.1. Оператор даёт общее разрешение привлекать субпроцессоров из списка (хостинг, сторонние ИИ-сервисы, платёжный провайдер, почтовая служба). Обработчик заключает с ними договоры, возлагающие на них обязанности, не менее строгие, чем в этом поручении, и отвечает перед Оператором за их действия.

7.2. Об изменении списка Обработчик уведомляет Оператора не менее чем за {{SUBPROCESSOR_NOTICE_DAYS}} (по умолчанию — 30) дней по email и публикацией на странице. Оператор вправе возразить; если стороны не договорились, Оператор вправе расторгнуть договор с возвратом за неиспользованный период.

7.3. Особенность ИИ-сервисов: им передаются только тексты вопросов и фактов о бренде (не данные учётных записей). Оператор не включает в них ПДн. Точка «ChatGPT» работает через стороннего LLM-агрегатора за пределами РФ (трансграничная передача текстов вопросов).

8. Инциденты#

8.1. Обработчик уведомляет Оператора о ставшем ему известным инциденте, затрагивающем ПДн Оператора (неправомерная или случайная передача, предоставление, доступ), без неоправданной задержки и не позднее 24 часов с момента выявления, на контактный email Оператора, с описанием: что произошло, предполагаемые причины, категории и приблизительное число субъектов, принятые меры, контакт.

8.2. Оператор самостоятельно уведомляет Роскомнадзор: первичное уведомление — в течение 24 часов с момента выявления инцидента, дополнительное (результаты расследования) — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ; сроки по вторичным источникам, сверить). Обработчик предоставляет информацию, необходимую для уведомления, в течение 24 часов после запроса и далее по мере расследования.

8.3. Обработчик со своей стороны выполняет обязанности по уведомлению Роскомнадзора и ГосСОПКА, если они возникают у него как у оператора ПДн пользователей.

9. Содействие в обращениях субъектов#

Обработчик направляет Оператору обращение субъекта, полученное по данным, обрабатываемым по поручению, в течение 3 рабочих дней и не отвечает субъекту по существу без указаний Оператора. Обработчик содействует исполнению запросов Оператора (поиск, выгрузка, исправление, удаление) — функциями кабинета или по запросу на support@kleogeo.ru в течение {{DSR_ASSIST_DAYS}} (по умолчанию — 5) рабочих дней.

10. Возврат и удаление#

10.1. Оператор сам вправе удалить проект или рабочее пространство в кабинете (удаляются данные в рабочих базах, S3, ClickHouse, OpenSearch; из резервных копий — при ротации в течение {{BACKUP_DAYS}} дней).

10.2. По окончании договора и по истечении срока хранения (п. 15.3 оферты) Обработчик удаляет ПДн Оператора, если Оператор до этого не запросил их возврата (выгрузка в JSON/Parquet) или удаление ранее.

10.3. Не удаляются данные, хранение которых требуется законом (платёжные и бухгалтерские документы, журнал согласий) — они хранятся изолированно и не используются для иных целей.

11. Ответственность#

Ответственность сторон — по разделу 14 оферты. Обработчик отвечает перед Оператором за нарушение условий поручения.

12. Приложение для клиентов из ЕС/ЕЭП и Великобритании (структура, совместимая со стандартными договорными условиями)#

12.1. Если Оператор подпадает под GDPR/UK GDPR, стороны дополнительно заключают стандартные договорные условия ЕС (Решение (ЕС) 2021/914) — {{SCC_MODULE}} (модуль 2: контролёр → процессор; модуль 3 — если Оператор сам процессор) — и/или Addendum Великобритании {{UK_TRANSFER_MECHANISM}}; настоящее поручение и Приложения I–III служат их содержанием. При противоречии приоритет у SCC. [Ссылка на SCC и их применимость к импорту данных в РФ — вопрос юриста, не проверялась.]

12.2. Применимое право и суд для SCC: {{SCC_GOVERNING_LAW}}, {{SCC_COURT}}. Надзорный орган: {{SCC_SUPERVISORY_AUTHORITY}}.

Приложение I. Описание передачи#

A. Стороны. Экспортёр данных: Клиент (контролёр) — {{CUSTOMER_NAME}}, адрес и контакт из учётной записи. Импортёр данных: {{COMPANY_NAME}}, {{LEGAL_ADDRESS}}, контакт privacy@kleogeo.ru, {{DPO_NAME}}; представитель в ЕС/UK: {{EU_REPRESENTATIVE}} / {{UK_REPRESENTATIVE}}.

B. Описание передачи.

C. Компетентный надзорный орган: {{SCC_SUPERVISORY_AUTHORITY}}.

Приложение II. Технические и организационные меры#

Меры по разделу 6 настоящего поручения; в формате SCC: шифрование при передаче (TLS); псевдонимизация не применяется; разграничение доступа и изоляция клиентов; журналирование и аудит; управление уязвимостями и проверки безопасности (внутренние аудиты) {{ORG_MEASURES_STATUS}}; резервное копирование и ограниченные сроки хранения; удаление по запросу; процедуры реагирования на инциденты и уведомления; обучение и обязательства по конфиденциальности персонала; требования к субпроцессорам по разделу 7; помощь экспортёру в исполнении запросов субъектов (раздел 9). Мер по физической безопасности центров обработки данных — обеспечивает хостинг-провайдер {{HOSTING_PROVIDER}}.

Приложение III. Список субпроцессоров#

Актуальный список — /legal/subprocessors; на дату версии: хостинг {{HOSTING_PROVIDER}} (РФ); ИИ-провайдеры (Yandex AI Studio, Sber GigaChat — РФ; LLM-агрегатор {{LLM_AGGREGATOR_NAME}} — {{LLM_AGGREGATOR_COUNTRY}}); платёжный провайдер {{PAYMENT_PROVIDER}} (РФ); почтовая служба {{EMAIL_PROVIDER}} (РФ). Общее разрешение — раздел 7.

Примечания для юриста (удалить перед публикацией)#

1. Сверить перечень обязательных условий поручения (ч. 3 ст. 6, ст. 19 152-ФЗ; правила ПП № 1119, приказ ФСТЭК № 21) с официальным текстом.
2. Срок 24 часа для уведомления Оператора — рекомендация аудита (docs/legal-audit.md, п. 6.10), не закон.
3. Для ЕС/Великобритании ст. 28 GDPR здесь не реализована: рынки ЕС/UK не таргетируются.
4. Акцепт DPA в составе оферты допустим только если лицо вправе согласовывать такие условия; для крупных клиентов возможен отдельный подписанный документ.