Поручение на обработку персональных данных

Приложение № 1 к Лицензионному договору-оферте на использование сервиса «Цех360»

Настоящее Поручение на обработку персональных данных является неотъемлемой частью Лицензионного договора-оферты на использование сервиса «Цех360» и определяет условия обработки персональных данных, которые Лицензиат размещает в Сервисе в качестве оператора персональных данных.

1. Термины и статус сторон

1.1. Оператор — Лицензиат по Лицензионному договору-оферте, который самостоятельно определяет цели обработки персональных данных, состав обрабатываемых персональных данных и действия с ними.

1.2. Обработчик — Индивидуальный предприниматель Соколков Максим Олегович, ИНН 591152546735, ОГРНИП 324595800043386, предоставляющий сервис «Цех360» и осуществляющий обработку персональных данных по поручению Оператора.

1.3. Сервис — облачное программное обеспечение «Цех360», доступное в том числе по адресу https://app.ceh360.ru/.

1.4. Субъект персональных данных — физическое лицо, к которому относятся обрабатываемые Оператором персональные данные.

1.5. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.

1.6. Термины, не определённые настоящим Поручением, применяются в значениях, установленных Лицензионным договором-офертой и законодательством Российской Федерации.

2. Предмет Поручения

2.1. Оператор поручает Обработчику осуществлять обработку персональных данных, размещаемых Оператором и его Пользователями в Цех360, исключительно в целях предоставления функциональных возможностей Сервиса и исполнения Лицензионного договора-оферты.

2.2. Обработчик не определяет самостоятельно цели обработки таких персональных данных и осуществляет их обработку только:

• в соответствии с настоящим Поручением;
• в пределах функциональности Цех360;
• в соответствии с документированными указаниями Оператора;
• в случаях, прямо предусмотренных законодательством Российской Федерации.

2.3. Настоящее Поручение применяется с момента акцепта Оператором Лицензионного договора-оферты и начала размещения в Цех360 персональных данных третьих лиц.

2.4. Настоящее Поручение не регулирует обработку персональных данных самого владельца аккаунта или иных зарегистрированных Пользователей в тех случаях, когда Обработчик самостоятельно является оператором таких данных. Такая обработка регулируется Политикой обработки персональных данных Цех360.

3. Категории субъектов персональных данных

В рамках настоящего Поручения могут обрабатываться персональные данные следующих категорий физических лиц:

3.1. Сотрудники Оператора, включая приглашённых работников и иных лиц, которым Оператор предоставляет доступ к Организации в Цех360.

3.2. PIN-работники, которым Оператор создаёт доступ без отдельной пользовательской учётной записи.

3.3. Клиенты Оператора и представители его клиентов.

3.4. Представители контрагентов, поставщиков, подрядчиков и иных организаций, сведения о которых Оператор размещает в Сервисе.

3.5. Иные физические лица, персональные данные которых Оператор правомерно размещает в полях, комментариях, документах или файлах в процессе использования Цех360.

4. Перечень обрабатываемых персональных данных

В зависимости от способа использования Сервиса Оператор может поручать обработку следующих персональных данных:

4.1. Данные сотрудников и участников команды

• фамилия;
• имя;
• отчество, если указано;
• email;
• телефон;
• роль в Организации;
• сведения о доступных производственных участках;
• идентификаторы учётной записи;
• сведения о действиях в Сервисе;
• иные сведения, самостоятельно внесённые Оператором.

4.2. Данные PIN-работников

• имя или ФИО;
• логин;
• технические идентификаторы;
• сведения о доступных производственных участках;
• сведения о выполненных производственных действиях и рабочих сессиях;
• иные сведения, самостоятельно внесённые Оператором.

PIN-коды и иные средства авторизации обрабатываются исключительно для обеспечения доступа и безопасности Сервиса и не предназначены для использования в иных целях.

4.3. Данные клиентов и представителей контрагентов

• фамилия, имя, отчество или имя контактного лица;
• название организации;
• телефон;
• email;
• адрес;
• ИНН, если относится к физическому лицу или индивидуальному предпринимателю;
• сведения о заказах;
• комментарии;
• примечания;
• данные об оплатах и задолженности, связанные с заказом;
• иные сведения, самостоятельно внесённые Оператором.

4.4. Данные в производственной информации

Персональные данные могут содержаться в:

• заказах;
• изделиях;
• производственных операциях;
• комментариях;
• дополнительных пользовательских полях;
• названиях и описаниях;
• истории действий;
• иных создаваемых Оператором информационных объектах.

4.5. Персональные данные в файлах

Персональные данные могут содержаться в загружаемых Оператором:

• документах;
• договорах;
• спецификациях;
• таблицах;
• фотографиях;
• изображениях;
• чертежах;
• PDF-файлах;
• XLSX-файлах;
• иных поддерживаемых Сервисом файлах.

4.6. Обработчик не определяет содержимое свободных текстовых полей и загружаемых Оператором файлов и не осуществляет предварительную проверку каждого размещаемого материала.

5. Специальные категории и биометрические данные

5.1. Цех360 не предназначен для целенаправленной обработки специальных категорий персональных данных о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья и интимной жизни.

5.2. Цех360 также не предназначен для обработки биометрических персональных данных в целях установления личности субъекта.

5.3. Оператор обязуется не использовать Сервис для систематической обработки указанных категорий данных без предварительного письменного согласования с Обработчиком и наличия предусмотренных законом оснований.

5.4. Случайное наличие отдельных таких сведений в самостоятельно загруженном Оператором документе или свободном текстовом поле не означает принятия Обработчиком обязанности организовать специализированную информационную систему для их обработки, если стороны отдельно не согласовали иное.

6. Цели обработки

Обработчик осуществляет обработку персональных данных исключительно для следующих целей:

6.1. предоставление Оператору функциональных возможностей Цех360;

6.2. ведение заказов, клиентов, изделий, производственных операций и иных объектов Сервиса;

6.3. организация совместной работы Пользователей Оператора;

6.4. разграничение ролей и прав доступа;

6.5. обеспечение работы PIN-доступа;

6.6. хранение и предоставление файлов Пользователям с соответствующими правами;

6.7. сохранение истории действий и производственных событий;

6.8. обеспечение информационной безопасности;

6.9. резервное копирование и аварийное восстановление;

6.10. техническая поддержка и устранение неисправностей по обращению Оператора;

6.11. исполнение иных документированных указаний Оператора, не противоречащих законодательству и условиям использования Цех360.

7. Действия с персональными данными

В целях настоящего Поручения Обработчик вправе осуществлять следующие действия с персональными данными с использованием средств автоматизации либо смешанным способом:

• получение;
• сбор в части получения данных через интерфейсы Сервиса;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение, включая обновление и изменение;
• извлечение;
• использование исключительно для выполнения настоящего Поручения;
• предоставление и обеспечение доступа уполномоченным Пользователям Оператора;
• передачу между компонентами инфраструктуры Сервиса;
• создание резервных копий;
• блокирование;
• удаление;
• уничтожение.

7.2. Распространение персональных данных неопределённому кругу лиц в предмет настоящего Поручения не входит.

7.3. Обработчик не вправе использовать порученные ему персональные данные для собственной рекламы, формирования самостоятельных клиентских баз, продажи данных или иных целей, не связанных с исполнением настоящего Поручения.

8. Обязанности Оператора

Оператор обязан:

8.1. самостоятельно определить законные цели и правовые основания обработки персональных данных;

8.2. обеспечить наличие согласия субъекта на обработку и поручение обработки другому лицу в случаях, когда такое согласие требуется законодательством, либо наличие иного предусмотренного законом основания;

8.3. предоставлять Обработчику только те персональные данные, обработка которых необходима для целей Оператора;

8.4. не обрабатывать персональные данные способом, несовместимым с первоначально заявленными целями их обработки;

8.5. исполнять обязанности оператора персональных данных перед субъектами и Роскомнадзором;

8.6. самостоятельно определять круг Пользователей своей Организации и объём предоставленных им прав;

8.7. своевременно прекращать доступ сотрудников, подрядчиков и иных лиц, которым такой доступ больше не требуется;

8.8. обеспечивать безопасность средств авторизации своих Пользователей и PIN-работников;

8.9. своевременно направлять Обработчику указания об уточнении, блокировании или уничтожении персональных данных, когда это требуется;

8.10. не давать Обработчику указания, заведомо нарушающие законодательство Российской Федерации.

9. Обязанности Обработчика

Обработчик обязан:

9.1. обрабатывать персональные данные только в соответствии с настоящим Поручением и документированными указаниями Оператора;

9.2. соблюдать принципы и правила обработки персональных данных, установленные законодательством Российской Федерации;

9.3. соблюдать конфиденциальность персональных данных;

9.4. обеспечивать безопасность персональных данных при их обработке;

9.5. принимать необходимые правовые, организационные и технические меры для защиты персональных данных;

9.6. предоставлять доступ к персональным данным только тем лицам, которым он необходим для обеспечения работы Сервиса, технической поддержки, безопасности или выполнения обязательств перед Оператором;

9.7. обеспечить соблюдение лицами, имеющими доступ к персональным данным, требований конфиденциальности;

9.8. принимать меры, направленные на предотвращение неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления или распространения персональных данных;

9.9. выполнять требования к локализации персональных данных граждан Российской Федерации в случаях, предусмотренных законодательством;

9.10. по запросу Оператора в течение срока действия Поручения предоставлять документы и иную информацию, разумно необходимую для подтверждения исполнения обязанностей Обработчика в соответствии с законодательством и настоящим Поручением;

9.11. содействовать Оператору в исполнении законных требований субъектов персональных данных в пределах информации и технических возможностей, находящихся у Обработчика;

9.12. выполнять полученные от Оператора правомерные требования о блокировании, уточнении или уничтожении персональных данных;

9.13. прекратить обработку соответствующих данных после прекращения действия Поручения, кроме случаев, когда их дальнейшее хранение допускается или требуется законодательством либо иным действующим основанием.

10. Меры безопасности

10.1. Обработчик самостоятельно определяет состав необходимых правовых, организационных и технических мер с учётом характера обрабатываемых данных, используемых информационных систем и актуальных угроз безопасности.

10.2. В частности, Обработчик применяет либо обеспечивает применение мер, включающих в необходимом объёме:

• разграничение доступа к данным;
• идентификацию и аутентификацию Пользователей;
• ограничение административного доступа;
• защиту каналов передачи данных;
• контроль прав доступа;
• защиту учётных данных;
• резервное копирование;
• восстановление доступности данных после технических сбоев;
• обновление программного обеспечения;
• применение мер защиты серверной инфраструктуры;
• выявление и устранение уязвимостей;
• регистрацию событий безопасности в объёме, необходимом для обеспечения защиты Сервиса;
• иные необходимые меры.

10.3. Обработчик не гарантирует абсолютную невозможность инцидентов информационной безопасности, но обязан принимать предусмотренные законодательством и разумно необходимые меры для снижения соответствующих рисков.

11. Местонахождение и хранение данных

11.1. Первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации, если иной порядок прямо не допускается законодательством.

11.2. Для хранения данных и файлов Обработчик вправе использовать собственную и арендуемую серверную и облачную инфраструктуру, отвечающую требованиям настоящего Поручения.

11.3. На дату настоящей редакции основная инфраструктура Цех360, предназначенная для хранения Пользовательских данных, размещается на территории Российской Федерации.

11.4. Обработчик вправе изменять конкретного инфраструктурного поставщика при условии сохранения требований законодательства к местонахождению и защите персональных данных.

12. Привлечение технических поставщиков

12.1. Оператор разрешает Обработчику привлекать третьих лиц исключительно в объёме, необходимом для:

• размещения серверной инфраструктуры;
• облачного хранения;
• резервного копирования;
• обеспечения безопасности;
• доставки технических уведомлений;
• иных вспомогательных операций, необходимых для функционирования Цех360.

12.2. При привлечении таких лиц Обработчик обязан обеспечить договорное возложение на них требований конфиденциальности и безопасности персональных данных в необходимом объёме.

12.3. Привлечение технического поставщика не освобождает Обработчика от ответственности перед Оператором за надлежащее исполнение настоящего Поручения.

12.4. Обработчик вправе заменять технических поставщиков при условии, что такая замена не приводит к снижению обязательного уровня защиты данных или нарушению требований законодательства Российской Федерации.

13. Запросы субъектов персональных данных

13.1. Ответственность за рассмотрение требований субъектов персональных данных несёт Оператор как лицо, определяющее цели обработки.

13.2. Если запрос субъекта поступил непосредственно Обработчику и очевидно относится к данным, обрабатываемым исключительно по поручению конкретного Оператора, Обработчик вправе:

• сообщить субъекту контактные данные соответствующего Оператора;
• передать запрос Оператору;
• запросить у Оператора указания по дальнейшим действиям.

13.3. По запросу Оператора Обработчик содействует:

• поиску соответствующих данных;
• предоставлению сведений о факте их обработки;
• уточнению данных;
• блокированию;
• прекращению обработки;
• уничтожению,

в пределах доступных ему технических возможностей.

14. Инциденты с персональными данными

14.1. При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к порученным персональным данным, которая может повлечь нарушение прав субъектов персональных данных, Обработчик уведомляет Оператора без неоправданной задержки после выявления такого обстоятельства.

14.2. Уведомление направляется по доступному Обработчику контактному адресу владельца Организации либо иному заранее согласованному каналу.

14.3. В уведомлении Обработчик в доступном на соответствующий момент объёме сообщает:

• характер инцидента;
• предполагаемую дату и время;
• категории затронутых данных;
• известные категории субъектов;
• предполагаемые причины;
• возможные последствия;
• уже принятые меры;
• контакт для взаимодействия по инциденту.

14.4. При появлении дополнительной существенной информации Обработчик передаёт её Оператору дополнительно.

14.5. Обработчик оказывает Оператору разумное содействие, необходимое для исполнения предусмотренных законодательством обязанностей по уведомлению Роскомнадзора и расследованию инцидента.

15. Уточнение, блокирование и прекращение обработки

15.1. По документированному указанию Оператора Обработчик осуществляет либо обеспечивает уточнение, блокирование, прекращение обработки или уничтожение соответствующих персональных данных в пределах технических возможностей Сервиса и сроков, установленных законодательством.

15.2. Если немедленное физическое уничтожение отдельных данных технически невозможно, Обработчик вправе сначала обеспечить их блокирование и последующее уничтожение в предусмотренный законодательством срок.

15.3. Оператор обязан предоставить достаточно информации для однозначного определения данных, которые необходимо изменить, заблокировать или уничтожить.

16. Прекращение Поручения и удаление данных

16.1. Само по себе прекращение платного Тарифа не прекращает настоящее Поручение, если Организация продолжает существовать и использовать Бесплатный Тариф.

16.2. Настоящее Поручение действует до наиболее раннего из следующих событий:

• удаления Организации;
• прекращения Лицензионного договора и удаления данных по соответствующему запросу;
• прекращения обработки соответствующих данных по документированному указанию Оператора.

16.3. Владелец Организации вправе направить запрос на удаление Организации и связанных с ней данных на info@ceh360.ru.

16.4. Обработчик вправе удостовериться в личности и полномочиях лица, направившего запрос.

16.5. После подтверждения запроса данные удаляются или обезличиваются в порядке и сроки, установленные Лицензионным договором-офертой и законодательством Российской Федерации.

16.6. До удаления по запросу Оператора Обработчик может предоставить данные в объёме, который технически доступен стандартными средствами Цех360 или иным согласованным сторонами способом.

16.7. Данные, содержащиеся в резервных копиях, могут сохраняться до завершения установленного Обработчиком цикла хранения резервных копий.

Такие данные не используются для текущей деятельности и могут обрабатываться исключительно в целях аварийного восстановления.

При восстановлении резервной копии ранее полученные требования об удалении или прекращении обработки подлежат повторному исполнению.

17. Подтверждение исполнения требований

17.1. По обоснованному запросу Оператора Обработчик предоставляет информацию, подтверждающую принятие предусмотренных настоящим Поручением мер.

17.2. Запрос не должен:

• создавать угрозу безопасности других клиентов Цех360;
• требовать передачи секретов, паролей, ключей доступа или иной защищаемой информации;
• приводить к раскрытию персональных данных других Операторов;
• необоснованно нарушать работу Сервиса.

17.3. Если требуемая информация содержит сведения ограниченного доступа, стороны согласовывают безопасный способ её предоставления.

18. Конфиденциальность

18.1. Обработчик не раскрывает порученные персональные данные третьим лицам, кроме:

• Пользователей самого Оператора с соответствующими правами;
• технических поставщиков в соответствии с разделом 12;
• случаев, прямо предусмотренных законодательством;
• случаев исполнения документированного указания Оператора.

18.2. Обязанность сохранять конфиденциальность действует в течение всего срока обработки персональных данных и после прекращения настоящего Поручения в отношении информации, которая продолжает храниться на законном основании.

19. Ответственность

19.1. Оператор несёт ответственность перед субъектами персональных данных за наличие законных оснований обработки, определение её целей и правомерность передачи персональных данных для обработки Обработчику.

19.2. Обработчик несёт ответственность перед Оператором за обработку персональных данных в нарушение настоящего Поручения либо обязательных требований законодательства в пределах, предусмотренных законодательством и Лицензионным договором-офертой.

19.3. Если нарушение вызвано исполнением незаконного указания Оператора, о незаконности которого Обработчик предупредил Оператора, ответственность распределяется в соответствии с законодательством Российской Федерации.

19.4. Ограничения ответственности, предусмотренные Лицензионным договором-офертой, применяются к настоящему Поручению в той мере, в которой такое ограничение допускается законом.

20. Изменение Поручения

20.1. Обработчик вправе обновлять настоящее Поручение в связи с:

• изменением законодательства;
• изменением инфраструктуры;
• развитием функциональности Цех360;
• изменением состава технических поставщиков;
• необходимостью повышения уровня защиты данных.

20.2. Существенные изменения, влияющие на условия обработки персональных данных Оператора, доводятся до действующих пользователей через Сервис и/или email.

20.3. Новая редакция не распространяется задним числом на действия, совершённые до даты её вступления в силу.

21. Соотношение с другими документами

21.1. Настоящее Поручение является неотъемлемой частью Лицензионного договора-оферты Цех360.

21.2. При противоречии между настоящим Поручением и общими положениями Оферты в вопросах обработки персональных данных третьих лиц применяются положения настоящего Поручения.

21.3. Политика обработки персональных данных Цех360 применяется к случаям, когда ИП Соколков Максим Олегович самостоятельно выступает оператором персональных данных.

21.4. Настоящее Поручение применяется к случаям, когда ИП Соколков Максим Олегович обрабатывает персональные данные по поручению Лицензиата.

22. Контактные данные Обработчика

Индивидуальный предприниматель Соколков Максим Олегович

ИНН: 591152546735

ОГРНИП: 324595800043386

Email для юридически значимых обращений и вопросов, связанных с персональными данными:

info@ceh360.ru

Сайт: https://ceh360.ru/

Сервис: https://app.ceh360.ru/