Договор поручения обработки персональных данных

1Стороны и предмет

1.1.Договор заключается между клиентом сервиса consents.ru (далее — Оператор) и Индивидуальный предприниматель Парфененкова Юлия Михайловна (ИНН 771596378669, ОГРН 322774600051432, далее — Обработчик) одновременно с акцептом оферты (https://consents.ru/legal/offer) и является её неотъемлемой частью.

1.2.Оператор поручает, а Обработчик обязуется обрабатывать персональные данные посетителей сайтов Оператора, подключённых к сервису, по поручению Оператора в соответствии с ч. 3 ст. 6 Федерального закона № 152-ФЗ «О персональных данных».

1.3.Оператор остаётся оператором этих данных: он определяет цели обработки, получает согласия от своего имени и отвечает перед субъектами персональных данных (ч. 5 ст. 6 152-ФЗ). Обработчик отвечает перед Оператором.

2Цели, данные и действия

2.1.Цели обработки: фиксация согласий, отказов и отзывов согласий посетителей сайтов Оператора; хранение доказательств согласий; учёт отзывов и сроков их исполнения; передача сведений в системы Оператора через API и вебхуки по его настройке.

2.2.Категории субъектов: посетители сайтов Оператора, заполняющие формы, подписывающиеся на рассылку или выбирающие настройки cookie.

2.3.Перечень данных:

• адрес электронной почты или номер телефона, указанные в форме (хранятся в зашифрованном виде; для поиска — необратимый отпечаток);
• IP-адрес, усечённый до сети (/24 для IPv4, /48 для IPv6);
• отпечаток сведений о браузере;
• анонимный идентификатор браузера для настроек cookie;
• время, страница и форма, цель согласия, редакция документа, с которой человек согласился, принятое решение.

Обработчик не собирает через виджет содержимое форм (имена, адреса, сообщения), кроме контакта, по которому можно найти согласие.

2.4.Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача Оператору (предоставление, доступ), блокирование, удаление, уничтожение — с использованием средств автоматизации.

3Обязанности Обработчика

3.1.Обрабатывать данные только для целей договора и по указаниям Оператора, выраженным в настройках сервиса, через API или письменно.

3.2.Соблюдать конфиденциальность и не раскрывать данные третьим лицам без согласия Оператора, кроме случаев, предусмотренных законом.

3.3.Принимать меры защиты по ст. 18.1 и 19 152-ФЗ, в том числе:

• хранить базы данных на серверах в Российской Федерации (ч. 5 ст. 18 152-ФЗ) и не осуществлять трансграничную передачу;
• шифровать контакты субъектов и соединения с серверами;
• разграничивать доступ сотрудников и журналировать его;
• вести журнал согласий только с добавлением записей: у каждой записи есть отпечаток, контрольные точки журнала подписываются и публикуются (https://consents.ru/log);
• делать резервные копии и проверять восстановление.

3.4.Помогать Оператору отвечать на запросы субъектов и Роскомнадзора: предоставлять выгрузки журнала и сведения об обработке в течение 3 рабочих дней с запроса.

3.5.При утечке или неправомерной передаче данных уведомить Оператора не позднее 12 часов с момента обнаружения и передать сведения, нужные Оператору для уведомления Роскомнадзора в течение 24 часов, а по результатам расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

3.6.Привлекать к обработке других лиц (хостинг-провайдер, почтовый сервис) только при условии, что они принимают обязательства не ниже этого договора. Список субобработчиков сообщается Оператору по запросу.

4Обязанности Оператора

4.1.Получать согласия субъектов в соответствии с законом, публиковать политику обработки персональных данных и указывать в ней, что обработку по его поручению осуществляет Обработчик.

4.2.Не передавать через сервис данные, которые не нужны для целей договора, в том числе специальные и биометрические категории.

4.3.Исполнять отзывы согласий и запросы субъектов в сроки, установленные законом.

5Срок и прекращение

5.1.Договор действует, пока действует оферта.

5.2.После прекращения договора Обработчик в течение 30 дней предоставляет Оператору возможность выгрузить журнал, затем уничтожает персональные данные и по запросу направляет акт об уничтожении. Отпечатки записей в публичном журнале не уничтожаются: по ним нельзя восстановить персональные данные.

6Реквизиты Обработчика