Поручение на обработку персональных данных

1. Зачем нужен этот документ

Когда мы настраиваем CRM, переносим базу или делаем интеграцию, мы неизбежно соприкасаемся с персональными данными, которые собрал заказчик: контактами его клиентов, сотрудников, контрагентов.

Оператором этих данных остаётся заказчик - он их собрал и определил цели обработки. Мы выступаем уполномоченным лицом: обрабатываем данные только по поручению заказчика и только в объёме, нужном для работ. Настоящий документ описывает условия такого поручения.

Правовое основание - статья 7 Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных»: оператор вправе поручить обработку персональных данных иному лицу, если иное не предусмотрено законодательными актами, при этом объём и цели обработки определяет оператор, а уполномоченное лицо обязано соблюдать принципы и правила обработки, предусмотренные Законом.

2. Термины

• ·Оператор - заказчик, определяющий цели и состав обрабатываемых персональных данных.
• ·Уполномоченное лицо - ООО «САПЕТИА», обрабатывающее данные по поручению Оператора.
• ·Обработка - действия с данными в рамках согласованных работ: доступ, перенос, настройка структуры хранения, тестирование.
• ·Работы - услуги по внедрению, интеграции, доработке и сопровождению, согласованные сторонами.

3. Предмет поручения

Оператор поручает, а Уполномоченное лицо принимает на себя обработку персональных данных, размещённых в информационных системах Оператора, исключительно в целях выполнения Работ.

Состав данных определяется тем, что уже находится в системах Оператора: как правило это имя, телефон, e-mail, должность, наименование организации, история обращений.

Собственных целей обработки у Уполномоченного лица нет. Мы не используем данные Оператора для маркетинга, не передаём их третьим лицам и не формируем на их основе собственные базы.

4. Что гарантирует Оператор

• ·данные получены законно и у Оператора есть основания для их обработки;
• ·субъекты данных проинформированы об обработке в объёме, требуемом законодательством;
• ·есть правовые основания для привлечения Уполномоченного лица к обработке;
• ·состав передаваемых данных не избыточен по отношению к задачам Работ.

5. Что обязуется делать Уполномоченное лицо

• ·обрабатывать данные только в объёме и в целях, необходимых для Работ;
• ·не раскрывать данные третьим лицам без письменного указания Оператора;
• ·обеспечивать конфиденциальность и применять организационные и технические меры защиты;
• ·работать под именными учётными записями, чтобы действия были прослеживаемы в журнале системы;
• ·сообщать Оператору о ставшем известном инциденте, затрагивающем его данные, в течение 3 рабочих дней;
• ·по завершении Работ прекратить обработку и удалить рабочие копии данных, если они создавались.

6. Меры защиты

Доступы к системам Оператора хранятся в менеджере паролей, а не в переписке и не в файлах. Ключи интеграций - в защищённом хранилище проекта.

Мы запрашиваем минимально достаточный уровень прав и не обращаемся к данным, не относящимся к задаче. Выгрузка базы выполняется только тогда, когда без неё задача не решается, и по согласованию с Оператором.

Подробнее о нашем подходе к доступам - на странице «Безопасность».

7. Ответственность сторон

Оператор отвечает за законность сбора данных, за соблюдение прав субъектов данных и за обработку обращений от них.

Уполномоченное лицо отвечает за соблюдение условий настоящего поручения при обработке и за сохранность полученных доступов.

Обращения субъектов данных, поступившие к нам напрямую, мы переадресуем Оператору - принимать решения по ним вправе только он.

8. Привлечение третьих лиц

Уполномоченное лицо не привлекает к обработке третьих лиц без согласия Оператора. Исключение - поставщики самих информационных систем, которыми Оператор уже пользуется: они действуют на основании собственных документов с Оператором.

9. Срок и прекращение

Поручение действует на период выполнения Работ и прекращается с их завершением или по требованию Оператора.

После прекращения мы просим отозвать наши учётные записи. Данные, оставшиеся в системах Оператора, остаются у Оператора - мы их не копируем и не удерживаем.

10. Контакты

Вопросы по обработке данных в рамках проектов: hello@sapetia.by.