Поручение на обработку персональных данных
1. Стороны и заключение
1.1. Оператор: пользователь сервиса Нора, который вносит в свой Кабинет персональные данные своих клиентов, контрагентов и их представителей и сам определяет цели их обработки.
1.2. Обработчик: Исполнитель по Пользовательскому соглашению, который предоставляет сервис Нора.
1.3. Поручение дается в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее «Закон»), является частью Пользовательского соглашения и считается данным с момента, когда Оператор впервые вносит такие данные в Кабинет.
Обработчик: индивидуальный предприниматель Ильин Андрей Павлович, ИНН 100122263909, ОГРНИП 318784700006685, г. Санкт-Петербург.
2. Перечень данных и категории субъектов
2.1. Субъекты: клиенты и контрагенты Оператора, их представители и работники, лица, которые подписывают документы Оператора по ссылке или записываются к нему через Сервис.
2.2. Данные: фамилия, имя, отчество; контактные данные (телефон, адрес почты, мессенджер); сведения об организации и должности; реквизиты (ИНН, ОГРН, адрес, банковские реквизиты); сведения о сделках, счетах, оплатах, договорах и других документах; содержание заметок, задач и загруженных файлов; при подписании по ссылке IP-адрес, сведения о браузере и время действий.
2.3. Состав данных определяет Оператор. Специальные категории и биометрические данные Оператор в Сервис не вносит.
3. Цели и перечень действий
3.1. Цель обработки Обработчиком: предоставление Оператору функций Сервиса для ведения его клиентов, сделок, счетов, договоров, записи и подписания документов.
3.2. Действия: сбор (в том числе через формы записи и подписания по ссылкам Оператора), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) лицам из раздела 6 и самим субъектам по действиям Оператора, блокирование, удаление, уничтожение. Обработка автоматизированная.
3.3. Обработчик обрабатывает данные только по поручению и в интересах Оператора и не использует их в собственных целях.
4. Обязанности Обработчика
- соблюдать принципы и правила обработки, предусмотренные Законом, и конфиденциальность данных;
- принимать меры по защите данных, предусмотренные ст. 19 Закона: отдельное хранилище для каждого Кабинета, доступ только после входа Оператора, соединение по HTTPS, шифрование ключей доступа к банкам, проверка источника запросов на изменение данных;
- соблюдать требования ст. 18.1 Закона и выполнять поручение с учетом раздела 7;
- по запросу Оператора в течение срока действия поручения предоставлять документы и сведения, подтверждающие принятие мер и соблюдение требований Закона;
- сообщать Оператору об инцидентах в порядке раздела 8;
- не допускать работников к данным Кабинета, кроме случаев устранения сбоя по обращению Оператора или требования закона.
5. Обязанности Оператора
- иметь правовое основание для обработки каждого вида данных, которые он вносит в Сервис, и при необходимости получить согласие субъектов, в том числе на поручение обработки Обработчику и на трансграничную передачу;
- сообщать субъектам сведения, предусмотренные ст. 14 и 18 Закона, и отвечать на их запросы;
- самостоятельно оценивать, соответствует ли размещение данных требованиям ч. 5 ст. 18 Закона, с учетом раздела 7;
- не вносить в Сервис данные, обработка которых Сервисом не предусмотрена или запрещена;
- включать ИИ-функции и передавать в них данные субъектов только при наличии правового основания.
6. Привлечение третьих лиц
6.1. Оператор соглашается, что для выполнения поручения Обработчик привлекает:
- Cloudflare, Inc.: облачная инфраструктура хранения и обработки, модели ИИ по умолчанию, отправка почты;
- Anthropic PBC: только если Оператор включил ИИ-функции и выбрал модель Claude;
- Telegram, банки и почтовые сервисы: только если Оператор сам подключил соответствующую функцию.
6.2. Часть этих лиц находится за пределами Российской Федерации, их привлечение означает трансграничную передачу данных (ст. 12 Закона). Об изменении перечня Обработчик сообщает в Политике и в Кабинете.
7. Место хранения
7.1. Место хранения описано в разделе 8 Политики: инфраструктура Cloudflare, Inc., размещение может находиться за пределами Российской Федерации. Обработчик не утверждает, что базы данных Сервиса находятся на территории Российской Федерации, и Оператор учитывает это при оценке требований ч. 5 ст. 18 Закона.
8. Инциденты
8.1. Если Обработчик обнаружил неправомерную или случайную передачу (предоставление, распространение, доступ) данных Оператора, он без промедления сообщает об этом Оператору по почте, через которую Оператор входит в Сервис, и в Кабинете: что произошло, какие данные затронуты, какие меры приняты.
8.2. Обработчик помогает Оператору подготовить уведомление в Роскомнадзор, которое Оператор направляет в сроки ч. 3.1 ст. 21 Закона (в течение 24 часов первичное уведомление, в течение 72 часов результаты расследования).
9. Запросы субъектов
9.1. Оператор сам выполняет запросы субъектов в Кабинете: находит, исправляет и удаляет записи, выгружает данные.
9.2. Если запрос субъекта о данных Оператора пришел Обработчику, Обработчик пересылает его Оператору и помогает с выполнением, если Оператор не может выполнить его сам.
10. Срок и прекращение
10.1. Поручение действует, пока существует Кабинет Оператора.
10.2. Оператор может в любое время выгрузить данные Кабинета (раздел 7 Соглашения) и запросить удаление Кабинета. После получения запроса Обработчик уничтожает данные Оператора в срок не более 30 календарных дней и сообщает об этом Оператору.
11. Ответственность
11.1. Перед субъектами за обработку их данных отвечает Оператор. Обработчик отвечает перед Оператором (ч. 5 ст. 6 Закона) в пределах, установленных Пользовательским соглашением и законом.