Поручение на обработку персональных данных

Приложение к Пользовательскому соглашению платформы QLess

Дата вступления в силу: [дата]

Редакция: 1.0

1. Общие положения

1.1. Настоящее Поручение на обработку персональных данных (далее — «Поручение») определяет условия, порядок и требования к обработке персональных данных, осуществляемой платформой QLess по поручению пользователей Платформы.

1.2. Поручение является неотъемлемой частью Пользовательского соглашения QLess (далее — «Соглашение») и регулирует отношения между:

• Владельцем проекта (оператором персональных данных) — юридическим лицом, индивидуальным предпринимателем или иным лицом, использующим Платформу для организации продажи товаров, предоставления услуг, приёма заказов, бронирований и записей, самостоятельно определяющим цели и состав обработки персональных данных;
• QLess (лицом, осуществляющим обработку по поручению) — [полное наименование юридического лица или Ф. И. О. индивидуального предпринимателя, ИНН, адрес], предоставляющим доступ к платформе QLess и осуществляющим обработку персональных данных по поручению Владельца проекта.

1.3. QLess (далее — «Платформа») представляет собой программный сервис, позволяющий создавать и управлять электронными витринами товаров и услуг, организовывать приём и обработку заказов, бронирований и записей, взаимодействовать с покупателями и заказчиками посредством поддерживаемых цифровых каналов.

1.4. Настоящее Поручение разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и иными применимыми нормативными правовыми актами Российской Федерации.

1.5. После утверждения Поручения Владелец проекта сможет поручить QLess обработку персональных данных в пределах настоящего документа. Публикация черновика не означает выдачу или принятие поручения.

1.6. Порядок принятия утверждённого Поручения подлежит отдельному определению в Соглашении. Этот черновик не подключён к регистрации и авторизации.

1.7. QLess вправе обрабатывать персональные данные исключительно в рамках настоящего Поручения, документированных указаний Владельца проекта и требований применимого законодательства.

2. Предмет Поручения

2.1. Владелец проекта поручает QLess осуществлять обработку персональных данных физических лиц с использованием программных и технических средств Платформы.

2.2. Обработка осуществляется исключительно в целях обеспечения функционирования проектов Владельца проекта, создаваемых и управляемых посредством Платформы.

2.3. QLess не определяет самостоятельно цели обработки персональных данных, осуществляемой по настоящему Поручению, и не вправе использовать такие данные в собственных целях, за исключением случаев, прямо предусмотренных законодательством Российской Федерации.

2.4. Настоящее Поручение не распространяется на обработку персональных данных, осуществляемую QLess в качестве самостоятельного оператора для регистрации пользователей Платформы, исполнения Соглашения, ведения расчётов, обеспечения безопасности собственных сервисов и выполнения установленных законом обязанностей. Такая обработка регулируется Политикой в отношении обработки персональных данных QLess и применимым законодательством.

3. Категории субъектов и перечень персональных данных

3.1. В рамках настоящего Поручения могут обрабатываться персональные данные следующих категорий субъектов:

• покупателей товаров;
• заказчиков и получателей услуг;
• лиц, оформляющих бронирования и записи;
• получателей заказов и отправлений;
• сотрудников и представителей Владельца проекта, которым предоставлен доступ к управлению проектом;
• иных физических лиц, данные которых правомерно внесены Владельцем проекта в Платформу в пределах её функциональных возможностей.

3.2. Перечень обрабатываемых персональных данных включает:

3.2.1. Идентификационные и контактные данные:

• имя и фамилия (при наличии);
• номер телефона;
• идентификатор пользователя во внешнем цифровом сервисе;
• отображаемое имя пользователя;
• Telegram ID, username, имя, фамилия и язык, переданные Telegram.

3.2.2. Данные о заказах, покупках и услугах:

• идентификаторы и номера заказов;
• сведения о заказанных товарах и услугах;
• количество, стоимость и состав заказа;
• дата и время оформления заказа;
• статус заказа и его исполнения;
• выбранный способ оплаты и статус оплаты;
• история заказов, бронирований и записей;
• комментарии и пожелания к заказу;
• сведения о начисленных и использованных бонусах при наличии соответствующего функционала.

3.2.3. Данные для получения товаров и услуг:

• выбранная точка обслуживания;
• адрес доставки или получения заказа, если соответствующий способ предусмотрен проектом;
• сведения о выбранном пункте выдачи;
• контактные данные получателя;
• дата и время получения товара или оказания услуги.

3.2.4. Технические данные:

• IP-адрес;
• сведения о браузере, устройстве и операционной системе;
• технические идентификаторы сессий;
• дата и время обращения к Платформе;
• журналы действий и технических событий;
• данные, необходимые для авторизации, защиты доступа и обеспечения работоспособности сервиса.

3.2.5. Данные сотрудников и представителей Владельца проекта:

• имя и контактные данные;
• идентификатор учётной записи;
• назначенные роли и права доступа;
• сведения о действиях в интерфейсе управления;
• сведения о рабочих сменах, если используется соответствующий функционал.

3.3. Фактический состав обрабатываемых данных зависит от выбранных Владельцем проекта функций Платформы, настроек проекта и информации, правомерно предоставленной субъектами персональных данных.

3.4. Владелец проекта обязуется не использовать Платформу для обработки специальных категорий персональных данных, предусмотренных статьёй 10 Закона о персональных данных, а также биометрических персональных данных, используемых для установления личности, без предварительного отдельного согласования с QLess и обеспечения необходимых правовых и технических условий.

3.5. Владелец проекта обязуется не размещать в свободных текстовых полях Платформы персональные данные, избыточные для целей оформления и исполнения заказов, записей, бронирований и предоставления услуг.

4. Цели обработки персональных данных

4.1. Обработка персональных данных осуществляется в следующих целях:

4.1.1. Обеспечение функционирования электронных витрин товаров и услуг, созданных Владельцем проекта.

4.1.2. Регистрация и идентификация покупателей и заказчиков в рамках проектов Владельца проекта.

4.1.3. Приём, оформление, хранение и обработка заказов, бронирований и записей.

4.1.4. Обеспечение взаимодействия между Владельцем проекта, его сотрудниками и клиентами.

4.1.5. Передача уведомлений о статусах заказов, бронирований и записей.

4.1.6. Обеспечение возможности оплаты товаров и услуг через подключённые Владельцем проекта платёжные сервисы.

4.1.7. Организация доставки, отправки и получения товаров при использовании соответствующего функционала.

4.1.8. Ведение истории заказов, бронирований и взаимодействий с клиентами.

4.1.9. Предоставление сотрудникам Владельца проекта доступа к управлению заказами и обслуживанию клиентов.

4.1.10. Обеспечение безопасности, предотвращение несанкционированного доступа и поддержание работоспособности проектов Владельца проекта.

4.2. Использование персональных данных для рекламных рассылок, продвижения товаров и услуг либо иных маркетинговых целей допускается только при наличии соответствующего правового основания и соблюдении требований применимого законодательства.

4.3. QLess не вправе самостоятельно использовать персональные данные клиентов Владельца проекта для продвижения собственных товаров и услуг, продажи баз данных, формирования рекламных аудиторий или передачи данных третьим лицам в целях, не предусмотренных настоящим Поручением.

5. Перечень действий с персональными данными

5.1. Владелец проекта поручает QLess осуществление следующих действий (операций) с персональными данными:

• сбор;
• запись;
• систематизация;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование;
• передача (предоставление, доступ) в пределах настоящего Поручения;
• обезличивание;
• блокирование;
• удаление;
• уничтожение.

5.2. Обработка персональных данных может осуществляться с использованием средств автоматизации, а также без использования таких средств в случаях, необходимых для технической поддержки, расследования инцидентов безопасности и исполнения законных обязанностей.

5.3. QLess осуществляет операции с персональными данными в объёме, необходимом для предоставления функциональных возможностей Платформы и исполнения настоящего Поручения.

5.4. Передача персональных данных третьим лицам допускается только в случаях, предусмотренных настоящим Поручением, документированными указаниями Владельца проекта или законодательством Российской Федерации.

6. Обязанности Владельца проекта

6.1. Владелец проекта самостоятельно определяет законные цели обработки персональных данных, категории субъектов, состав данных и правовые основания обработки.

6.2. Владелец проекта обязуется:

6.2.1. Обеспечивать наличие законных оснований для обработки персональных данных и их передачи QLess, включая получение согласий субъектов на поручение обработки другому лицу в случаях, когда такие согласия необходимы.

6.2.2. Предоставлять субъектам персональных данных необходимую информацию об обработке их персональных данных.

6.2.3. Размещать или предоставлять собственную политику обработки персональных данных в случаях, предусмотренных законодательством.

6.2.4. Обеспечивать достоверность и актуальность персональных данных в пределах своих обязанностей.

6.2.5. Самостоятельно рассматривать обращения субъектов персональных данных и обеспечивать реализацию их прав.

6.2.6. Не допускать обработки персональных данных в целях, противоречащих законодательству Российской Федерации.

6.2.7. Обеспечивать соблюдение требований законодательства при подключении сторонних сервисов, включая платёжные системы, службы доставки и иные интеграции.

6.2.8. Контролировать предоставление доступа к проекту своим сотрудникам и представителям.

6.2.9. Своевременно направлять QLess документированные указания об исправлении, блокировании, удалении или уничтожении персональных данных, если выполнение соответствующих действий невозможно средствами Платформы.

6.3. Владелец проекта самостоятельно определяет необходимость направления уведомлений в уполномоченный орган по защите прав субъектов персональных данных и исполняет соответствующие обязанности в случаях, предусмотренных законом.

6.4. Владелец проекта не вправе давать QLess указания, исполнение которых нарушает законодательство Российской Федерации.

7. Обязанности QLess

7.1. QLess обязуется:

7.1.1. Обрабатывать персональные данные исключительно в пределах настоящего Поручения, законных документированных указаний Владельца проекта и применимого законодательства.

7.1.2. Соблюдать принципы и правила обработки персональных данных, установленные Законом о персональных данных.

7.1.3. Обеспечивать конфиденциальность персональных данных и не раскрывать их третьим лицам без надлежащего правового основания.

7.1.4. Принимать необходимые правовые, организационные и технические меры для обеспечения безопасности персональных данных.

7.1.5. Соблюдать требования части 5 статьи 18 и статьи 18.1 Закона о персональных данных в части, применимой к обработке данных по настоящему Поручению.

7.1.6. Обеспечивать выполнение требований к защите персональных данных в соответствии со статьёй 19 Закона о персональных данных.

7.1.7. Предоставлять Владельцу проекта по его запросу в течение срока действия Поручения, в том числе до начала обработки персональных данных, документы и иную информацию, подтверждающие принятие мер и соблюдение требований законодательства, относящихся к исполнению Поручения.

7.1.8. Содействовать Владельцу проекта в исполнении его обязанностей по рассмотрению обращений субъектов персональных данных в пределах имеющейся у QLess информации и технических возможностей.

7.1.9. Уведомлять Владельца проекта об инцидентах, связанных с неправомерной или случайной передачей (предоставлением, распространением, доступом) персональных данных, повлёкших нарушение прав субъектов персональных данных.

7.1.10. Прекращать обработку, блокировать, удалять или уничтожать персональные данные по законному указанию Владельца проекта с учётом установленных законом обязанностей по хранению.

7.2. QLess не вправе использовать персональные данные одного Владельца проекта для обслуживания другого Владельца проекта, за исключением обезличенных данных при условии соблюдения законодательства и отсутствия возможности идентификации субъектов.

7.3. QLess обеспечивает разграничение доступа к данным различных проектов и Владелец проектаов с использованием предусмотренных архитектурой Платформы механизмов логической изоляции.

8. Требования к защите персональных данных

8.1. QLess принимает меры защиты персональных данных с учётом актуальных угроз безопасности, характера обрабатываемых данных и требований законодательства Российской Федерации.

8.2. К таким мерам относятся, в частности:

• управление доступом к информационным системам;
• идентификация и аутентификация пользователей;
• разграничение прав доступа;
• защита сетевого взаимодействия;
• использование защищённых каналов передачи данных;
• регистрация событий безопасности;
• резервное копирование и восстановление данных;
• контроль доступа к инфраструктуре и административным интерфейсам;
• применение обновлений безопасности;
• выявление и устранение уязвимостей;
• ограничение доступа сотрудников QLess к персональным данным;
• контроль действий лиц, имеющих административные полномочия.

8.3. Конкретный состав мер защиты определяется с учётом установленных в соответствии с законодательством уровней защищённости персональных данных и применимых требований к информационным системам персональных данных.

8.4. Доступ сотрудников и привлечённых лиц QLess к персональным данным предоставляется исключительно в объёме, необходимом для исполнения их служебных или договорных обязанностей.

8.5. QLess обеспечивает принятие организационных мер, направленных на предотвращение несанкционированного доступа, утраты, изменения, раскрытия и уничтожения персональных данных.

8.6. QLess обеспечивает соблюдение требований законодательства Российской Федерации о локализации персональных данных граждан Российской Федерации.

8.7. Использование инфраструктуры, расположенной за пределами Российской Федерации, допускается только при наличии необходимых правовых оснований и соблюдении требований законодательства о локализации и трансграничной передаче персональных данных.

9. Привлечение третьих лиц

9.1. Владелец проекта разрешает QLess привлекать третьих лиц для исполнения настоящего Поручения при соблюдении требований законодательства Российской Федерации и условий настоящего раздела.

9.2. Привлечение третьих лиц допускается исключительно в объёме, необходимом для предоставления функциональных возможностей Платформы, обеспечения её безопасности и технического обслуживания.

9.3. При привлечении третьего лица к обработке персональных данных QLess обеспечивает наличие надлежащего договорного основания, предусматривающего требования к конфиденциальности, безопасности, целям и пределам обработки персональных данных.

9.4. Перечень привлечённых лиц, обрабатывающих персональные данные по поручению QLess, сведения об их функциях и применимых условиях обработки предоставляются Владельцу проекта до начала соответствующей обработки и поддерживаются в актуальном состоянии.

9.5. Передача персональных данных платёжным организациям, службам доставки и иным сервисам, самостоятельно подключённым Владельцем проекта, осуществляется в соответствии с выбранными Владельцем проекта настройками, условиями соответствующих интеграций и применимым законодательством.

9.6. В случаях, когда сторонний сервис самостоятельно определяет цели и средства обработки полученных персональных данных, такой сервис выступает самостоятельным оператором персональных данных в пределах соответствующей обработки.

9.7. Настоящий раздел не освобождает стороны от обязанности обеспечить необходимое согласие субъекта на поручение обработки персональных данных другому лицу, если такое согласие требуется законом.

10. Обработка и хранение персональных данных

10.1. Персональные данные обрабатываются в течение срока действия настоящего Поручения либо до достижения целей обработки, если более короткий срок предусмотрен законодательством или законными указаниями Владельца проекта.

10.2. QLess обеспечивает хранение персональных данных с применением мер защиты, соответствующих требованиям законодательства.

10.3. Владелец проекта самостоятельно определяет необходимые сроки хранения персональных данных с учётом целей обработки и применимых нормативных требований.

10.4. По прекращении действия Поручения QLess прекращает обработку персональных данных в интересах Владельца проекта, за исключением операций, необходимых для их возврата, удаления, уничтожения или исполнения установленных законом обязанностей.

10.5. Порядок возврата данных до прекращения доступа требует отдельного согласования сторон. Этот черновик не предусматривает наличие самостоятельного экспорта данных пользователем.

10.6. После прекращения договорных отношений персональные данные удаляются или уничтожаются в порядке и сроки, установленные Соглашением, настоящим Поручением и законодательством Российской Федерации.

10.7. Персональные данные, содержащиеся в резервных копиях, подлежат удалению или уничтожению в соответствии с установленным циклом хранения резервных копий с исключением их использования для обычной обработки после прекращения Поручения.

10.8. Если сохранение определённых данных является обязательным в силу закона, соответствующие данные сохраняются исключительно в пределах установленного законом срока и не используются для иных целей.

11. Реагирование на инциденты безопасности

11.1. При выявлении инцидента, связанного с неправомерной или случайной передачей персональных данных, повлёкшей нарушение прав субъектов персональных данных, QLess уведомляет Владельца проекта без необоснованной задержки с момента обнаружения соответствующего инцидента; ответственные лица и канал уведомления подлежат согласованию до утверждения Поручения.

11.2. Первоначальное уведомление должно содержать имеющуюся на момент направления информацию:

• характер выявленного инцидента;
• предполагаемое время возникновения;
• категории затронутых персональных данных;
• предполагаемый масштаб инцидента;
• сведения о принятых мерах;
• контактные данные лица, ответственного за взаимодействие по инциденту.

11.3. QLess предоставляет Владельцу проекта дополнительную информацию по мере её установления и содействует расследованию инцидента.

11.4. Владелец проекта самостоятельно исполняет обязанности по уведомлению уполномоченного органа в сроки, установленные законодательством Российской Федерации, если такие обязанности возникают в связи с соответствующим инцидентом.

11.5. QLess предоставляет Владельцу проекта информацию, необходимую для исполнения указанных обязанностей, в пределах имеющихся сведений.

11.6. Стороны взаимодействуют в целях локализации последствий инцидента, устранения его причин и предотвращения повторного возникновения.

12. Запросы субъектов персональных данных

12.1. Владелец проекта является основным лицом, ответственным за рассмотрение обращений субъектов персональных данных, относящихся к обработке, осуществляемой в рамках его проекта.

12.2. Если QLess получает обращение субъекта персональных данных, относящееся к обработке по поручению Владельца проекта, QLess направляет соответствующее обращение Владельцу проекта либо сообщает субъекту предусмотренный порядок обращения к Владельцу проекта, если это допустимо законодательством.

12.3. QLess оказывает Владельцу проекта разумное содействие в исполнении законных требований субъектов персональных данных, включая уточнение, блокирование, удаление и уничтожение персональных данных.

12.4. QLess не обязан самостоятельно принимать решения о законности обработки персональных данных Владельцем проекта, за исключением случаев, когда соответствующая обязанность прямо предусмотрена законодательством.

12.5. Если исполнение указания Владельца проекта может повлечь нарушение законодательства, QLess вправе приостановить исполнение такого указания и уведомить Владельца проекта о выявленных обстоятельствах.

13. Контроль соблюдения требований

13.1. Владелец проекта вправе запрашивать у QLess информацию и документы, подтверждающие соблюдение требований законодательства и условий настоящего Поручения.

13.2. QLess предоставляет соответствующую информацию в разумный срок, согласованный сторонами с учётом характера запроса и установленных законом сроков исполнения обязанностей Владельца проекта.

13.3. Предоставление информации осуществляется с соблюдением требований конфиденциальности, защиты коммерческой тайны и безопасности инфраструктуры Платформы.

13.4. QLess вправе предоставлять подтверждающие документы, описания организационных и технических мер защиты, отчёты о проверках и иные материалы, позволяющие оценить соблюдение требований к обработке персональных данных.

13.5. Проверки, предполагающие непосредственный доступ к инфраструктуре QLess, проводятся только по отдельному согласованию сторон и при условии обеспечения безопасности данных других пользователей Платформы.

13.6. Условия настоящего раздела не ограничивают предусмотренные законом права Владельца проекта на получение информации, необходимой для исполнения его обязанностей.

14. Ответственность сторон

14.1. Стороны несут ответственность за нарушение настоящего Поручения в соответствии с законодательством Российской Федерации и условиями Соглашения.

14.2. Владелец проекта несёт ответственность за определение законных целей и оснований обработки персональных данных, правомерность их сбора и предоставления QLess, а также за соблюдение обязанностей оператора персональных данных.

14.3. QLess несёт ответственность перед Владельцем проекта за нарушение требований законодательства и условий настоящего Поручения в пределах своей деятельности.

14.4. Ответственность перед субъектами персональных данных распределяется в соответствии с положениями статьи 6 Закона о персональных данных и иных применимых норм законодательства.

14.5. Ни одно положение настоящего Поручения не исключает и не ограничивает ответственность сторон в случаях, когда такое исключение или ограничение запрещено законом.

14.6. Стороны обязуются добросовестно взаимодействовать при рассмотрении претензий, обращений и требований уполномоченных органов, относящихся к обработке персональных данных.

15. Срок действия и прекращение Поручения

15.1. Настоящее Поручение вступает в силу с момента его принятия Владельцем проекта в порядке, предусмотренном Соглашением.

15.2. Поручение действует в течение срока действия Соглашения, а в части прекращения обработки, возврата, удаления и уничтожения персональных данных — до завершения соответствующих действий.

15.3. Прекращение действия Соглашения влечёт прекращение настоящего Поручения, если иное не предусмотрено законом или отдельным соглашением сторон.

15.4. QLess вправе приостановить обработку персональных данных по настоящему Поручению в случаях, предусмотренных законодательством или Соглашением, в том числе при выявлении незаконных указаний Владельца проекта.

15.5. Прекращение Поручения не освобождает стороны от исполнения обязанностей, которые в силу закона или своего характера должны сохраняться после прекращения договорных отношений.

16. Изменение условий Поручения

16.1. QLess вправе предлагать изменения настоящего Поручения в связи с изменением законодательства, функциональных возможностей Платформы, состава привлекаемых лиц или условий обработки персональных данных.

16.2. Новая редакция публикуется на официальном сайте Платформы с указанием даты вступления в силу.

16.3. Изменения, затрагивающие существенные условия обработки персональных данных, доводятся до сведения Владельца проекта до начала их применения.

16.4. Изменение целей обработки, категорий персональных данных или условий привлечения третьих лиц, требующее нового согласия субъекта либо иного правового основания, не допускается без выполнения соответствующих требований законодательства.

16.5. Принятие изменений осуществляется в порядке, предусмотренном Соглашением. Одностороннее изменение Поручения не может рассматриваться как замена необходимых по закону согласий субъектов персональных данных.

17. Заключительные положения

17.1. Во всём, что не урегулировано настоящим Поручением, стороны руководствуются Соглашением и законодательством Российской Федерации.

17.2. В случае противоречия между настоящим Поручением и Соглашением в части обработки персональных данных по поручению Владельца проекта преимущественную силу имеют положения настоящего Поручения, если иное не установлено императивными нормами законодательства.

17.3. Недействительность отдельного положения Поручения не влечёт недействительности остальных его положений.

17.4. Юридически значимые сообщения направляются сторонами через предусмотренные Соглашением каналы связи.

17.5. Настоящее Поручение размещается в открытом доступе на официальном сайте Платформы.

Официальный сайт: https://qless.ru

QLess: [полное юридическое наименование]

ИНН: [указать]

Адрес: [указать]

Контактный адрес по вопросам персональных данных: [указать]