Договор-поручение на обработку персональных данных

Настоящий договор-поручение на обработку персональных данных (далее — «Поручение») является неотъемлемой частью лицензионного договора на предоставление права использования онлайн-сервиса Cosmos CRM, заключаемого на условиях Публичной оферты, размещённой по адресу cosmoscrm.ru/terms-offer.

Индивидуальный предприниматель Булгакова Екатерина Валерьевна, ИНН 784806704352, ОГРНИП 323784700019778, далее — «Обработчик», осуществляет обработку персональных данных по поручению юридического лица или индивидуального предпринимателя, использующего Cosmos CRM, далее — «Оператор», на следующих условиях. Акцепт Публичной оферты Cosmos CRM означает принятие настоящего Поручения.

1. Термины
1.1. Закон — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
1.2. Персональные данные, ПДн — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
1.3. Специальные категории ПДн — персональные данные, указанные в статье 10 Закона, включая сведения о состоянии здоровья.
1.4. Оператор — Лицензиат Cosmos CRM, самостоятельно определяющий цели обработки персональных данных, состав обрабатываемых персональных данных и действия с ними.
1.5. Обработчик — ИП Булгакова Екатерина Валерьевна, осуществляющая обработку ПДн по поручению Оператора в соответствии с частью 3 статьи 6 Закона.
1.6. Сервис — онлайн-сервис Cosmos CRM, доступный по адресу app.cosmoscrm.ru.
1.7. Данные Оператора — сведения, документы и иные данные, размещённые или созданные Оператором и его Пользователями в Cosmos CRM, включая персональные данные.
1.8. Пользователь — физическое лицо, которому Оператор предоставил доступ к своей Организации в Cosmos CRM.
1.9. Субобработчик — третье лицо, привлекаемое Обработчиком для выполнения отдельных операций, необходимых для обеспечения функционирования Сервиса.

2. Предмет и цели обработки
2.1. Оператор поручает Обработчику осуществлять обработку персональных данных, размещаемых Оператором и его Пользователями в Cosmos CRM.
2.2. Обработка осуществляется исключительно в целях:

• предоставления и обеспечения функционирования Cosmos CRM;
• записи, хранения и отображения Данных Оператора;
• выполнения действий, инициированных Пользователями Оператора через интерфейс Сервиса;
• формирования документов, отчётов и иных результатов, предусмотренных функциональностью Сервиса;
• импорта и экспорта данных;
• резервного копирования и восстановления данных;
• обеспечения информационной безопасности и стабильности Сервиса;
• предоставления технической поддержки;
• исполнения обязательств Обработчика перед Оператором по договору использования Cosmos CRM.

2.3. Обработчик не определяет цели обработки ПДн, размещаемых Оператором в Cosmos CRM, и не вправе использовать такие данные для собственных целей, не связанных с исполнением настоящего Поручения.

3. Категории субъектов и перечень персональных данных
3.1. В зависимости от деятельности Оператора и настроек его Организации в Cosmos CRM могут обрабатываться персональные данные:

• клиентов и подопечных;
• пациентов;
• членов семей;
• законных представителей;
• контактных лиц;
• сотрудников;
• волонтёров;
• представителей организаций и контрагентов;
• иных физических лиц, сведения о которых Оператор правомерно размещает в Cosmos CRM.

3.2. В рамках Поручения могут обрабатываться следующие персональные данные:

• фамилия, имя, отчество;
• дата рождения;
• пол;
• фотография;
• номер телефона;
• адрес электронной почты;
• адрес и сведения о месте проживания или пребывания;
• сведения о контактных и законных представителях;
• сведения о семье;
• сведения об обращениях;
• сведения об оказанной помощи и услугах;
• сведения о социальном положении и жизненной ситуации;
• сведения, содержащиеся в документах, заметках и комментариях;
• внутренние идентификаторы, номера дел и иные учётные сведения;
• сведения о сотрудниках, ответственных лицах и исполнителях;
• иные персональные данные, состав которых самостоятельно определяется Оператором при настройке пользовательских полей Cosmos CRM.

3.3. Если это необходимо для деятельности Оператора и у него имеются предусмотренные законодательством основания, в Сервисе могут обрабатываться специальные категории персональных данных, в том числе сведения о состоянии здоровья.
3.4. Cosmos CRM позволяет Оператору самостоятельно создавать пользовательские поля. Поэтому конкретный фактический состав ПДн в каждой Организации определяется Оператором в пределах настоящего перечня и целей обработки.
3.5. Оператор не вправе размещать в Сервисе персональные данные, обработка которых осуществляется им без предусмотренного законом основания.
3.6. Наличие в Сервисе фотографии физического лица само по себе не означает обработку биометрических персональных данных в смысле статьи 11 Закона, если изображение не используется для установления личности субъекта посредством соответствующей биометрической обработки.
Сервис Cosmos CRM не осуществляет биометрическую идентификацию физических лиц.

4. Действия с персональными данными
4.1. В рамках настоящего Поручения Обработчик вправе осуществлять следующие действия с ПДн:

• сбор посредством технических средств Сервиса при вводе данных Оператором и его Пользователями;
• получение;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование исключительно для исполнения настоящего Поручения;
• предоставление доступа уполномоченным Пользователям соответствующего Оператора;
• предоставление Субобработчикам в объёме, необходимом для исполнения настоящего Поручения;
• блокирование;
• удаление;
• уничтожение;
• резервное копирование;
• восстановление.

4.2. Обработка осуществляется преимущественно с использованием средств автоматизации.
4.3. Обработчик не осуществляет распространение персональных данных Оператора неограниченному кругу лиц.

5. Инструкции Оператора
5.1. Инструкциями Оператора являются:

• действия и настройки, выполняемые Оператором и его Пользователями через функциональность Cosmos CRM;
• письменные обращения Оператора к Обработчику, соответствующие настоящему Поручению, законодательству Российской Федерации и техническим возможностям Сервиса.

5.2. Обработчик осуществляет обработку ПДн только в соответствии с настоящим Поручением и инструкциями Оператора, за исключением случаев, когда соответствующая обработка обязательна в силу законодательства.
5.3. Обработчик вправе отказаться от выполнения инструкции, если её исполнение:

• нарушает законодательство;
• выходит за пределы настоящего Поручения;
• технически невозможно;
• создаёт угрозу безопасности Сервиса или данных других Операторов.

5.4. Если Обработчик считает инструкцию Оператора противоречащей законодательству о персональных данных, Обработчик вправе приостановить её выполнение и уведомить об этом Оператора.

6. Обязанности и ответственность Оператора
6.1. Оператор самостоятельно:

• определяет цели обработки ПДн;
• определяет состав обрабатываемых ПДн;
• определяет сроки обработки и хранения;
• определяет правовые основания обработки;
• получает необходимые согласия субъектов, если они требуются;
• выполняет обязанности по информированию субъектов;
• обеспечивает реализацию прав субъектов ПДн;
• определяет правомерность обработки специальных категорий ПДн;
• принимает решение о необходимости уточнения, блокирования или уничтожения ПДн;
• определяет права доступа своих Пользователей.

6.2. Оператор подтверждает, что имеет предусмотренные законодательством основания:

• для обработки размещаемых в Cosmos CRM персональных данных;
• для поручения их обработки Обработчику;
• для обработки специальных категорий ПДн, если такие данные размещаются в Сервисе.

6.3. Оператор самостоятельно отвечает за законность:

• первоначального получения ПДн;
• определения целей обработки;
• выбора состава ПДн;
• содержания пользовательских полей;
• сроков хранения данных;
• предоставления Пользователям доступа к данным.

6.4. При получении обращения субъекта ПДн Оператор самостоятельно определяет наличие оснований для исполнения соответствующего требования и при необходимости направляет Обработчику соответствующую инструкцию.

7. Обязанности Обработчика
7.1. Обработчик обязуется:

• соблюдать принципы и правила обработки персональных данных, применимые к обработке по поручению Оператора;
• соблюдать конфиденциальность ПДн;
• обрабатывать ПДн только в целях исполнения настоящего Поручения;
• принимать необходимые правовые, организационные и технические меры для обеспечения безопасности ПДн;
• выполнять применимые требования частей 5 статьи 18, статьи 18.1 и статьи 19 Закона;
• обеспечивать выполнение требований законодательства о локализации ПДн;
• выполнять правомерные инструкции Оператора;
• оказывать Оператору техническое содействие в уточнении, блокировании, удалении и уничтожении ПДн;
• принимать меры по предотвращению неправомерного доступа к данным;
• обеспечивать соблюдение требований настоящего Поручения привлечёнными Субобработчиками в части порученной им обработки.

7.2. Обработчик не обязан самостоятельно:

• определять наличие у Оператора правового основания обработки конкретного субъекта;
• получать согласия субъектов вместо Оператора;
• проверять содержание и действительность согласий;
• определять сроки хранения ПДн вместо Оператора.

7.3. По запросу Оператора в течение срока действия настоящего Поручения, в том числе до начала обработки ПДн, Обработчик предоставляет документы и иную информацию, подтверждающие принятие Обработчиком предусмотренных законодательством мер и соблюдение требований настоящего Поручения.
7.4. Объём предоставляемой информации может быть ограничен в той части, в которой её раскрытие способно создать угрозу информационной безопасности, нарушить права третьих лиц или раскрыть конфиденциальную информацию других клиентов Сервиса.

8. Требования к защите персональных данных
8.1. Обработчик обеспечивает безопасность ПДн при их обработке и принимает необходимые меры для защиты от:

• неправомерного или случайного доступа;
• уничтожения;
• изменения;
• блокирования;
• копирования;
• предоставления;
• распространения;
• иных неправомерных действий.

8.2. В применимом объёме Обработчик обеспечивает:

• идентификацию и аутентификацию Пользователей;
• разграничение прав доступа;
• ограничение доступа сотрудников Обработчика к данным необходимым минимумом;
• регистрацию значимых действий в Сервисе;
• защиту информационной инфраструктуры;
• защиту каналов передачи данных;
• резервное копирование;
• возможность восстановления данных после технических сбоев;
• контроль состояния информационной безопасности;
• выявление и реагирование на инциденты безопасности.

8.3. Конкретные технические механизмы защиты могут изменяться в процессе развития Сервиса при условии сохранения необходимого уровня безопасности и соблюдения требований законодательства.

9. Субобработчики
9.1. Оператор предоставляет Обработчику общее разрешение на привлечение третьих лиц, необходимых для предоставления технической инфраструктуры и функционирования Cosmos CRM.
9.2. Обработчик вправе предоставлять Субобработчику только тот объём ПДн и доступов, который необходим для выполнения соответствующей функции.
9.3. При привлечении Субобработчика Обработчик обязан обеспечить возложение на него обязательств по конфиденциальности и безопасности ПДн, соответствующих характеру выполняемой обработки и требованиям законодательства.
9.4. Привлечение Субобработчика не освобождает Обработчика от ответственности перед Оператором за надлежащее исполнение настоящего Поручения в части действий привлечённого Субобработчика.
9.5. На дату настоящей редакции основная серверная инфраструктура Cosmos CRM размещается на территории Российской Федерации на инфраструктуре ООО «Бегет» (Beget).
9.6. Яндекс Метрика может использоваться на публичном сайте cosmoscrm.ru.
Код Яндекс Метрики не размещается в закрытой части CRM на домене app.cosmoscrm.ru.
Содержимое карточек клиентов, пользовательских полей, документов, заметок и иных рабочих данных Организаций в Яндекс Метрику не передаётся.
9.7. Актуальный перечень существенных Субобработчиков размещается на сайте Cosmos CRM либо указывается в настоящем Поручении.
9.8. При существенном изменении перечня Субобработчиков Обработчик публикует актуальную информацию и/или уведомляет Оператора через Сервис либо по контактному адресу электронной почты.

10. Локализация и трансграничная передача
10.1. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение таких данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации, в случаях, предусмотренных законодательством.
10.2. Обработчик не осуществляет трансграничную передачу содержимого рабочих данных Cosmos CRM третьим лицам без выполнения предусмотренных законодательством условий.
10.3. Удалённый доступ Пользователя Оператора к Cosmos CRM из-за пределов Российской Федерации сам по себе не является поручением Обработчику осуществлять передачу ПДн иностранному третьему лицу.
10.4. Оператор самостоятельно отвечает за действия своих Пользователей, включая доступ к данным Оператора с устройств и из мест, определяемых самим Оператором.

11. Инциденты безопасности
11.1. При выявлении факта неправомерной или случайной передачи, предоставления, распространения или доступа к ПДн Оператора, который повлёк или может повлечь нарушение прав субъектов ПДн, Обработчик уведомляет Оператора без необоснованной задержки, но в любом случае в срок, позволяющий Оператору исполнить установленные законом обязанности по уведомлению уполномоченного органа.
11.2. Если обстоятельства позволяют идентифицировать соответствующего Оператора, первичное уведомление направляется ему по возможности не позднее 12 часов с момента выявления Обработчиком соответствующего инцидента.
11.3. Неполнота сведений на момент первичного уведомления не является основанием для задержки уведомления.
11.4. Первичное уведомление содержит имеющиеся на момент его направления сведения:

• о характере инцидента;
• о затронутых данных и субъектах, если это возможно установить;
• о предполагаемых причинах;
• о возможных последствиях;
• о принятых и планируемых мерах по устранению последствий.

11.5. Обработчик принимает необходимые меры для:

• локализации инцидента;
• прекращения неправомерного доступа;
• устранения последствий;
• сохранения информации, необходимой для расследования;
• предотвращения повторения аналогичного инцидента.

11.6. По мере проведения внутреннего расследования Обработчик предоставляет Оператору дополнительную имеющуюся информацию, необходимую для исполнения обязанностей Оператора, установленных законодательством.
11.7. Обязанность направления уведомлений Роскомнадзору исполняется Оператором, если иное прямо не предусмотрено законодательством.

12. Запросы субъектов персональных данных
12.1. Если Обработчик получает обращение субъекта ПДн, относящееся к данным конкретного Оператора, Обработчик вправе перенаправить обращение соответствующему Оператору.
12.2. Обработчик не принимает самостоятельно решения:

• о наличии правового основания обработки;
• об удовлетворении или отклонении требования субъекта;
• о сроке хранения данных Оператором,

если такое решение относится к полномочиям Оператора.
12.3. По инструкции Оператора Обработчик оказывает технически необходимое содействие в реализации прав субъекта ПДн, если соответствующее действие невозможно выполнить средствами Сервиса самостоятельно.

13. Срок действия Поручения
13.1. Настоящее Поручение действует с момента акцепта Публичной оферты и в течение всего срока действия договора использования Cosmos CRM.
13.2. Прекращение договора использования Cosmos CRM прекращает настоящее Поручение, кроме обработки, необходимой для:

• предоставления срока на выгрузку данных;
• выполнения инструкций Оператора по удалению;
• соблюдения обязательных требований законодательства;
• удаления данных из основных систем;
• предусмотренного настоящим Поручением хранения резервных копий и технических журналов.

14. Выгрузка и удаление данных
14.1. После прекращения использования Cosmos CRM Оператор вправе выгрузить доступные данные в предусмотренных Сервисом форматах.
14.2. Если иное не согласовано сторонами, Оператору предоставляется срок до 30 календарных дней для выгрузки данных после окончательного прекращения использования Сервиса.
14.3. По окончании срока для выгрузки Данные Оператора удаляются из основной рабочей информационной системы, если их дальнейшее хранение не требуется законодательством.
14.4. Если Оператор до окончания указанного срока направляет правомерную инструкцию о более раннем удалении ПДн и отсутствуют законные основания для их дальнейшего хранения, Обработчик выполняет такую инструкцию с учётом сроков, установленных законодательством.
14.5. Данные могут сохраняться в резервных копиях в течение технически необходимого срока, установленного действующим циклом резервного копирования.
14.6. ПДн, находящиеся исключительно в резервных копиях:

• не используются для текущей деятельности;
• не предоставляются Пользователям;
• не восстанавливаются иначе как при необходимости восстановления информационной системы;
• удаляются по мере перезаписи соответствующих резервных копий.

14.7. При восстановлении резервной копии Обработчик принимает меры для повторного удаления данных Организаций, которые к моменту восстановления подлежали удалению.
14.8. Технические журналы безопасности и аудита могут храниться до 12 месяцев либо иной установленный законодательством или технически обоснованный срок в целях:

• обеспечения информационной безопасности;
• расследования инцидентов;
• предотвращения злоупотреблений;
• защиты законных интересов сторон.

Такие журналы не используются для восстановления содержимого удалённых карточек, документов и иных рабочих данных Организации.
14.9. В случаях, когда законодательством установлен иной обязательный срок блокирования, прекращения обработки или уничтожения ПДн, применяется установленный законом срок.

15. Конфиденциальность
15.1. Обработчик обязуется не раскрывать ПДн и иные конфиденциальные Данные Оператора третьим лицам, кроме случаев:

• исполнения настоящего Поручения;
• привлечения Субобработчиков в соответствии с разделом 9;
• исполнения обязательного требования законодательства или уполномоченного государственного органа;
• выполнения правомерной инструкции Оператора.

15.2. Доступ работников и иных лиц, привлекаемых Обработчиком, к ПДн предоставляется только в объёме, необходимом для исполнения их обязанностей.
15.3. Лица, имеющие доступ к ПДн со стороны Обработчика, обязаны соблюдать конфиденциальность таких данных.

16. Ответственность сторон
16.1. Оператор несёт ответственность за:

• наличие законных оснований обработки ПДн;
• законность первоначального получения ПДн;
• определение целей обработки;
• выбор состава обрабатываемых данных;
• соблюдение требований к обработке специальных категорий ПДн;
• правомерность инструкций, направляемых Обработчику;
• действия своих Пользователей.

16.2. Обработчик несёт ответственность перед Оператором за нарушение обязанностей Обработчика, установленных настоящим Поручением и непосредственно применимыми к нему требованиями законодательства.
16.3. В соответствии с законодательством Российской Федерации ответственность перед субъектом персональных данных за действия лица, осуществляющего обработку по поручению, несёт Оператор, а Обработчик несёт ответственность перед Оператором.
16.4. Размер и условия договорной имущественной ответственности Обработчика перед Оператором определяются Публичной офертой Cosmos CRM.
16.5. Ограничения договорной ответственности, предусмотренные Публичной офертой, не применяются:

• в случаях, когда такое ограничение запрещено законом;
• к ответственности за умышленное нарушение обязательства;
• к публично-правовой ответственности Обработчика перед государственными органами, если такая ответственность предусмотрена законом.

16.6. Никакое положение настоящего Поручения не освобождает Обработчика от исполнения обязанностей, непосредственно возложенных на него законодательством Российской Федерации.
16.7. Оператор обязан возместить Обработчику документально подтверждённые убытки, штрафы и необходимые расходы, возникшие непосредственно вследствие виновного нарушения Оператором законодательства о персональных данных, если обязанность такого возмещения предусмотрена законодательством, настоящим договором или установлена вступившим в законную силу судебным актом.

17. Изменение Поручения
17.1. Обработчик вправе изменять настоящее Поручение в связи с:

• изменением законодательства;
• изменением технической инфраструктуры;
• изменением состава Субобработчиков;
• развитием функциональности Cosmos CRM;
• изменением характера обработки персональных данных.

17.2. Актуальная редакция постоянно размещается по адресу cosmoscrm.ru/agreement-assignment.
17.3. При существенном изменении условий обработки Обработчик уведомляет Оператора через Сервис и/или по контактному адресу электронной почты.
17.4. Изменение Поручения не может исключить или уменьшить обязательные требования к обработке и защите ПДн, установленные законодательством Российской Федерации.

18. Юридически значимые сообщения
18.1. Сообщения, связанные с настоящим Поручением, могут направляться по контактным адресам электронной почты сторон и через интерфейс Cosmos CRM.
18.2. Оператор обязан поддерживать контактные данные Организации в актуальном состоянии.
18.3. Уведомление об инциденте безопасности направляется по имеющимся у Обработчика актуальным контактным данным Оператора.

19. Применимое право и разрешение споров
19.1. К настоящему Поручению применяется законодательство Российской Федерации.
19.2. Разногласия стороны стремятся урегулировать в претензионном порядке.
19.3. При невозможности урегулировать спор он рассматривается в соответствии с правилами подведомственности и подсудности, установленными законодательством Российской Федерации.

20. Реквизиты Обработчика
Индивидуальный предприниматель Булгакова Екатерина Валерьевна
ИНН: 784806704352
ОГРНИП: 323784700019778
Адрес для корреспонденции: 196211, г. Санкт-Петербург, пр. Гагарина, д. 20, к. 2, кв. 24
Email: ask@cosmoscrm.ru
Сайт: cosmoscrm.ru