Поручение на обработку персональных данных

1. Настоящее поручение (далее «Поручение») на обработку персональных данных действует отдельно от публичной оферты на предоставление Программных продуктов AdVantShop.NET, Advantshop Mobile APP, Графических модулей и Программных модулей (доступна по ссылке в сети “Интернет” https://alfaseller.ru/profi) и не регулируются условиями, предусмотренными указанной офертой.  Поручение регулирует обработку персональных данных при использовании этих Программных продуктов, Программных модулей и Графических модулей.

2. Настоящее соглашение заключается между ООО «Группа Компаний ИТМ», ИНН 7327040371, адрес: 432071, Ульяновская обл, г. Ульяновск, переулок Федерации, дом 5, офис 2 (далее «Обработчик») и любым лицом, акцептировавшим Поручение (далее «Оператор»).

3. Настоящее соглашение не образует договор оказания услуг, посреднический или лицензионный договор. Оно регулирует информационный обмен между Сторонами и порядок соблюдения законодательства при информационном обмене.

4. Акцептом Поручения является совершение конклюдентных действий, направленных на принятие Поручения на Сайте https://alfaseller.ru/profi, или публикация веб-сайта в сети интернет или мобильного приложения с использованием Программных продуктов из пункта 1 Поручения, в зависимости от того, какое событие наступит раньше.  

5. Оператор на основании ч. 3 ст. 6 Федерального закона Российской Федерации от 27.07.2006 г. N 152-ФЗ «О персональных данных» (далее – «Закон») поручает Обработчику обработку персональных данных Пользователей Оператора.

6. Категории субъектов персональных данных (далее «Пользователи»), цели, состав, операции и прочие сведения о персональных данных приведены в таблице №1 Поручения.

7. Настоящее поручение не обязывает ни одну сторону передавать персональные данные. Настоящее поручение применяется в случае (и в отношении тех персональных данных), если персональные данные были переданы Оператором.

8. Обработчик также вправе осуществить дальнейшее поручение (перепоручение) обработки персональных данных третьим лицам для достижения цели обработки персональных данных, указанной в настоящем разделе.

9. Обработчик обязан:

9.1. Соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке.

9.2. Принимать согласно ст. 19 Закона необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. Обеспечение безопасности персональных данных достигается, в частности:

9.2.1. определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

9.2.2. применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

9.2.3. применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

9.2.4. оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

9.2.5. учетом машинных носителей персональных данных;

9.2.6. обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

9.2.7. восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

9.2.8. установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

9.2.9. контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

9.2.10. в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, с момента выявления такого инцидента уведомить Оператора:

9.2.11. в течение 24 часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента;

9.2.12. в течение 72 часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

9.3. При сборе персональных данных, обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе.

9.4. Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом и принятыми в соответствии с ним нормативными правовыми актами, в том числе меры, указанные в ст. 18.1 Закона:

9.5. Назначать ответственного за организацию обработки персональных данных;

9.6. Издавать документы, определяющие политику Обработчика в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;

9.7. Осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных законодательству о персональных данных и принятым в соответствии с ним нормативно-правовым актам, требованиям к защите персональных данных, политике Обработчика в отношении обработки персональных данных, локальным актам Обработчика;

9.8. Проводить оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения законодательства о персональных данных, определять соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством о персональных данных;

9.9. Обеспечивать ознакомление работников Обработчика, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе, требованиями к защите персональных данных, документами, определяющими политику Обработчика в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных и (или) обучение указанных работников;

9.10. не допускать объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

10. Обработчик, являясь лицом, обрабатывающим персональные данные по поручению Оператора, не обязан получать согласие Пользователей на обработку их персональных данных в рамках поручения в соответствии с пунктом 4 статьи 6 Закона..

11. Оператор несет ответственность перед субъектами персональных данных за действия Обработчика в соответствии с пунктом 5 статьи 6 Закона.

12. Оператор заверяет и гарантирует, что не собирает и не обрабатывает специальные категории персональных данных Пользователей, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни при использовании Сервиса, а также обязуется не поручать их обработку Обработчику. Оператор обязуется компенсировать Обработчику документально подтвержденный реальный ущерб, включая суммы штрафов и компенсаций, наложенных на Обработчика в связи с нарушением Оператором настоящего пункта.

13. Оператор вправе в течение всего срока действия Договора запрашивать у Обработчика копии документов, подтверждающих соблюдение требований Закона, в том числе установленных в статье 6 Закона. Обработчик предоставляет копии документов не позднее 10 рабочих дней с даты получения соответствующего запроса Оператора.

14. Все уведомления, запросы, требования, претензии, ответы на претензии, связанные с обработкой персональных данных, Стороны направляют друг другу по электронной почте. Днем доставки указанных сообщений, направленных по электронной почте, будет считаться день направления сообщения адресату.

15. При любом прекращении правового основания на обработку персональных данных Пользователя (в том числе при отзыве согласия на обработку персональных данных), Оператор обязуется:

15.1. Уничтожить персональные данные с использования функционала программных продуктов из пункта 1 Поручения в порядке и сроки, установленные Законом.

15.2. При невозможности самостоятельно уничтожить персональные данные, или при затруднениях с уничтожением – обратиться к обработчику с соответствующим запросом.

16. Настоящее Поручение действует до отказа любой из сторон Поручения. Для отказа от поручения Обработчик обязан направить оператору соответствующее уведомление в письменном виде или в виде электронного документа, подписанного квалифицированной электронной подписью.

17. В случае, если состав, цели или операции с персональными данными или сроки их хранения изменяются, Оператор обязуется обратиться к Обработчику с предложением скорректировать Поручение. Контроль за актуальностью условий Поручения возлагается на Оператора.

18. Оператор признает, что является профессиональным участником рынка и способен обеспечить законную обработку персональных данных Пользователей, в том числе путем взаимодействия с Обработчиком.

19. Обработчик не возмещает Оператору упущенную выгоду, любые косвенные или репутационные убытки.

20. Обработчик вправе по своему усмотрению изменять настоящее Поручение в одностороннем порядке. Новая редакция, содержащая изменения, вступает в силу с даты, указанной в такой редакции. Оператор обязуется отслеживать такие изменения.

ТАБЛИЦА №1

[1] Если иные сроки обработки и хранения персональных данных не предусмотрены Федеральным законом №152-ФЗ «О персональных данных» от 27.07.2006 г. и/или согласием на обработку персональных данных Субъекта