Поручение на обработку персональных данных

к Оферте ООО «РЕАЛТИХАБ» о предоставлении удаленного доступа к платформе REALTYHUB и условий ее использования

Поручение на обработку персональных данных

Настоящее Поручение на обработку персональных данных (далее – Поручение) является неотъемлемой частью Оферты о предоставлении удаленного доступа к платформе REALTYHUB и условий ее использования (далее – Оферта), размещенной по адресу https://realtyhub.ru/documents/oferta. Актуальный текст Поручения размещен на официальном сайте Оператора по адресу https://realtyhub.ru/documents/dpa.

Если Вы не согласны с условиями Поручения, Вы не можете использовать Платформу. Поручение считается заключенным с момента акцепта Оферты.

1. Основные термины

Для целей настоящего Поручения применять термины в значении, указанном ниже:

1.1. Оператор – Пользователь Платформы, уполномоченный Компанией и действующий от его имени, который организует и осуществляет обработку персональных данных и определяет: цели обработки и состав персональных данных, подлежащих обработке, а также действия (операции), совершаемые с персональными данными;

1.2. Обработчик персональных данных – Общество с ограниченной ответственностью «РЕАЛТИХАБ», ИНН 2312344071; КПП 231201001; ОГРН 1262300043939

1.3. Субобработчик персональных данных – третья сторона, которую Обработчик персональных данных привлекает для выполнения части операций с этими данными.

1.4. Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), размещенная Оператором на Платформе.

1.2. Контент пользователя – любая информация, размещенная/загруженная (внесенная) Пользователем на Платформу или при использовании функционала Платформы в том числе:

• ПД клиентов/ сотрудников и иных лиц, в отношении которой Пользователь выступает как Оператор или обработчик;
• данные, которые хранятся и обрабатываются посредством использования функциональности Платформы, такие как текст, текстовые сообщения, документы, голосовые и видео носители, изображения, текстовые сообщения электронной почты и т.п.

1.5. Средства коммуникации – почта, телефония, чаты и иные средства, возможность использования которых предоставляется Оператору в рамках функциональности Платформы.

1.6. Центр обработки данных (ЦОД) – место, где Обработчик хранит и обрабатывает персональные данные.

В Поручении могут быть использованы иные термины, выше не определенные, толкование которых будет производиться в соответствии с Офертой.

2. Предмет Поручения

2.1. Оператор в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 года № 152-ФЗ «О персональных данных» поручает, а Обработчик принимает на себя обязательство обрабатывать персональные данные Оператора в рамках осуществления Обработчиком действий по хостингу Контента пользователя, которые обрабатываются или будут обрабатываться Оператором с использованием функциональности Платформы.

2.2. Поручение входит в договор, заключаемый в порядке акцепта Оферты. Отдельное подписание идентичного текста не требуется. Действия по бесплатному доступу и оплате учитываются по соответствующим правилам Оферты; одно получение счета или открытие страницы не подменяет предусмотренный ею акцепт. Участники загруженного договора не становятся сторонами Поручения только из-за подписания этого договора через сервис.

2.3. Поручение распространяется на CRM Компании, загруженные Компанией документы и техническое сопровождение их подписания. Регистрация пользователей, собственные расчеты, исполнение соглашения о ПЭП с субъектом ПД, защита прав и обязательные действия ООО «РЕАЛТИХАБ» для своих целей имеют самостоятельные основания, раскрываемые в Политике обработки персональных данных, опубликованной по адресу https://realtyhub.ru/documents/privacy. Они не дают права использовать всю CRM Платформы для собственных целей ООО «РЕАЛТИХАБ».

2.4. Оператор самостоятельно определяет законные цели работы с клиентами, необходимый объем данных и полномочия своих пользователей, обеспечивает законность получения и передачи данных, информирование субъектов и согласие на поручение обработки Обработчику, если иное не предусмотрено федеральным законом. Такое согласие не подменяется акцептом Оферты представителем Компании. Согласия оформляются отдельно в случаях и порядке, требуемых законом.

2.5. Обработчик соблюдает принципы и правила обработки согласно Закону № 152-ФЗ и свои обязанности по Поручению. Отсутствие обязанности самостоятельно получать согласие субъекта в пределах ч. 4 ст. 6 152-ФЗ не освобождает его от конфиденциальности, безопасности и соблюдения пределов обработки. Обработчик не проверяет юридическое содержание каждого загруженного договора и личность по паспорту, если отдельное обязательство об этом не принято.

3. Основные положения

3.1. Основные субъекты ПД – физические лица, являющиеся клиентами (как действующими, так и потенциальными) Оператора, сторонами направляемых договоров и их представителями; пользователи Компании – в части действий с ее клиентскими данными и документами.

3.2. Цели обработки ПД: хостинг (поддержка баз данных, обработка запросов, обеспечение доступа к функциональности и обеспечение безопасности) Платформы и Контента пользователя на серверах Обработчика.

3.3. Перечень ПД: Ф.И.О., адрес электронной почты, контактный номер телефона, паспортные реквизиты, дата и место рождения, адрес регистрации, аудиозаписи переговоров и иные персональные данные, которые размещаются на Платформе/загружаются Оператором в составе Контента пользователя при использовании функциональности Платформы. Оператор самостоятельно обеспечивает законность содержания аудиозаписей, включая необходимое информирование участников. Само наличие голоса или фотографии субъекта ПД не означает обработку биометрии. Конечный перечень Персональных данных определяется Оператором посредством использования Платформы и не контролируется Обработчиком.

3.4. Перечень действий по обработке ПД в рамках Поручения:

• запись, накопление, хранение, удаление/уничтожение. Резервирование и восстановление выполняются как часть этих операций для защиты и доступности данных.
• техническое обеспечение передачи (предоставления, доступа) по решению Оператора после выбора Оператором соответствующей функции Платформы
• уничтожение/удаление Персональных данных.

3.5. Способ обработки ПД: автоматизированный с доступом Администратора Платформы для исполнения Поручения, поддержки, безопасности и обязательных требований.

3.6. Адрес ЦОД: г. Москва, ул. Подольских Курсантов, д. 15Б, 117545.

3.7. Применимость и пределы Поручения: использование функциональности Платформы считается единственным и исчерпывающим способом предоставления Оператором инструкций Обработчику по обработке персональных данных.

3.8. Срок действия Поручения: в течение всего срока использования Оператором Платформы в соответствии с Офертой, включая период блокировки.

3.9. Платформа не предназначена для целевого сбора специальных категорий ПДн согласно ст. 10 152-ФЗ и биометрической идентификации согласно ст. 11. Включение таких сценариев требует предварительного отдельного оформления оснований, категорий и защиты. Их нельзя считать разрешенными только из-за технической возможности загрузки PDF или аудио.

3.10. Обработчик не использует порученную CRM и содержание договоров для собственной рекламы, продажи клиентских баз, обучения моделей или самостоятельного коммерческого использования. Поручение не разрешает публичное распространение клиентских данных из CRM Оператора и Контента пользователя. Клиентские подборки, контакты Пользователя в объявлениях и иные раскрытия регулируются отдельными применимыми условиями и основаниями.

4. Заверения и гарантии Оператора

4.1. Оператор заверяет Обработчика и гарантирует, что

• получил персональные данные законными способами, обладает правовыми основаниями обработки ПД (в том числе разрешением субъектов ПД на передачу данных Обработчику с целью хранения) и надлежащим образом уведомил субъектов ПД о такой передаче, если такое требование предусмотрено законом;
• соблюдает принципы и правила обработки персональных данных, предусмотренные законодательством Российской Федерации;

4.2. Оператор гарантирует, что любой Пользователь Компании, осуществляющий обработку персональных данных с использованием функциональности Платформы, действует от имени Оператора и в соответствии с его инструкциями. При этом Оператор в лице Руководителя Компании на Платформе самостоятельно управляет аккаунтами и полномочиями Пользователями своей Компании, своевременно отзывает полномочия у выбывших Пользователей и несет ответственность перед Обработчиком, если Пользователь нарушает условия Поручения.

4.3. Заверения и гарантии Оператора, указанные в п. 2.1 - 2.2. являются достоверными в любой момент времени/периода обработки персональных данных в рамках Поручения.

4.4. Оператор сознательно принимает решение о размещении персональных данных и о Поручении обработки персональных данных при использовании функциональности Платформы.

5. Локализация конфиденциальность и защита

5.1. Обработчик соблюдает конфиденциальность и выполняет требования ч. 5 ст. 18, 18.1 и 19 Закона № 152-ФЗ. При обработке данных граждан РФ выполняются действующие требования к использованию баз в России. База данных и используемые резервы размещаются в Российской Федерации.

5.2. Обработчик использует инфраструктуру поставщика ООО «Бегет», ИНН 7801451618, ОГРН 1077847645590, юридический адрес: 195112, Санкт-Петербург, пл. Карла Фаберже, д. 8Б, офис 726А; фактический адрес хранения данных: дата-центр IXcellerate Moscow South, г. Москва, ул. Подольских Курсантов, д. 15Б, 117545.

5.3. Поручение не разрешает трансграничную передачу.

5.4. Обработчик принимает необходимые правовые, организационные и технические меры против неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения данных. Требования определяются по актуальным угрозам и уровню защищенности с учетом постановления Правительства РФ от 01.11.2012 № 1119 и приказа ФСТЭК России от 18.02.2013 № 21.

5.5. В применимом объеме обеспечиваются управление доступом, регистрация и учет действий с ПД, контроль целостности, выявление несанкционированного доступа, реагирование и восстановление после неправомерного изменения или уничтожения. Для окончательного уничтожения учитывается пункт 3.1 части 2 статьи 19 Закона № 152-ФЗ о средствах защиты с функцией уничтожения, прошедших установленную оценку соответствия. Секреты кодов и избыточное содержание договоров в журналы не включаются.

5.6. Резервирование и проверка восстановления организуются по техническому регламенту с учетом требований закона. Внутренний план дневного цикла и глубины 30 дней не объявляется уже выполненным или отдельной гарантией клиентам. Процент доступности, гарантированное отсутствие потерь и фиксированное время восстановления Поручением не устанавливаются. Это не отменяет обязательств по безопасности, сохранению данных в пределах договора и устранению нарушений.

5.7. В течение действия Поручения, в том числе до начала обработки, Оператор вправе запрашивать у Обработчика информацию, подтверждающую принятие мер и соблюдение требований ч. 3 ст. 6 Закона № 152-ФЗ в целях исполнения Поручения. Срок предоставления: до пяти рабочих дней с запроса; если подтверждения нужны до начала обработки либо для более раннего обязательного срока, предоставить их своевременно с учетом такого условия).

6. Обращения, инциденты и взаимодействие

6.1. Основной канал взаимодействия – электронная почта support@realtyhub.ru. Оператор поддерживает актуальность своего адреса электронной почты и полномочий лиц, направляющих обращения. Обращение регистрируется при получении; уточнение сведений не используется для произвольного начала законного срока заново. Объем проверки заявителя определяется его полномочиями и законом без избыточного сбора паспортных копий.

6.2. Получив запрос субъекта по порученным данным, Обработчик без неоправданной задержки передает его Оператору и оказывает необходимое содействие. Внутренний срок передачи: не позднее следующего рабочего дня; для срочного требования – немедленно в необходимом объеме. По собственным целям обработки ООО «РЕАЛТИХАБ» отвечает самостоятельно. Передача запроса Компании не отсрочивает обязательное блокирование, прекращение незаконного доступа или иные действия, которые Обработчик обязан выполнить сам.

6.3. Оператор рассматривает запрос и дает законные указания Обработчику. Обработчик исполняет их в пределах полномочий и в сроки, позволяющие соблюсти ст. 20 и 21 Закона № 152-ФЗ. В частности, учитываются 10 рабочих дней и мотивированное продление до 5 для запроса информации; 7 рабочих дней для подтвержденного уточнения или уничтожения по ч. 3 ст. 20; иные применимые пределы ст.21. Прекращение рекламы и распространения по надлежащему требованию не откладывается до окончания обычной корзины или срока поддержки.

6.4. О неправомерной или случайной передаче, предоставлении, распространении либо доступе, повлекших нарушение прав субъектов, в случаях ч. 3.1 ст. 21 Обработчик сообщает Оператору без неоправданной задержки после выявления. В первоначальном сообщении передаются известные факты: время и характер события, затронутые данные и субъекты, предполагаемые причины и вред, принятые меры и контакт для взаимодействия. Неизвестные сведения обозначаются как уточняемые, а не заменяются предположениями.

6.5. Первоначальное сообщение не откладывается до полного расследования. Сведения дополняются по мере проверки, в том числе о результатах, причинах и установленных виновных лицах. Взаимодействие должно позволять Оператору исполнить обязанности уведомления Роскомнадзора в пределах 24 и 72 часов с выявления в применимом законом порядке. Собственные обязанности ООО «РЕАЛТИХАБ» перед органами сохраняются; отправка одного письма Оператору не заменяет обязательного уведомления, если его должен сделать ООО «РЕАЛТИХАБ».

6.6. Предельный срок первоначального сообщения Обработчиком: не позднее 10 часов с выявления при обеспеченном процессе реагирования вне обычного графика. Общий режим консультационной поддержки не приостанавливает обязательные действия при инциденте. План восстановления не должен уничтожать необходимые доказательства его причин.

6.7. При обязательном запросе Обработчик проверяет полномочия и объем, предоставляет необходимое в установленном порядке и сообщает Оператору, если уведомление не запрещено законом. Содействие по запросам ограничивается относящимися сведениями. Поручение не предоставляет Оператору неограниченный доступ к инфраструктуре, исходному коду, секретам или данным других компаний; обязательные полномочия органов этим не ограничиваются.

7. Сроки обработки

7.1. Поручение действует в течение законного использования функционала Платформы и завершения предусмотренных ниже операций. Неоплата или блокировка платного доступа не означают немедленное уничтожение данных и не устанавливают бессрочное хранение. После прекращения основного обслуживания поручение сохраняется лишь в объеме выдачи, согласованного архива и надлежащего уничтожения при действующем основании.

7.2. После прекращения договора и отсутствия иной цели Обработчик обеспечивает хранение Контента пользователя в течение 30 календарных дней для выдачи Компании по запросу Руководителя, затем Контент пользователя уничтожается Обработчиком.

8. Ответственность

8.1. Перед субъектом ПД за порученную обработку Оператор несет ответственность в объеме, предусмотренном ч. 5 ст. 6 Закона № 152-ФЗ; Обработчик отвечает перед Оператором за исполнение Поручения. Это не исключает собственной ответственности Обработчика, установленной законом, и не ограничивает права субъектов ПД и полномочия органов. Привлечение провайдера не освобождает Обработчика от исполнения своих обязательств.

8.2. При поступлении запроса от субъекта персональных данных на предоставление сведений, указанных в ч. 7 ст. 14 Закона № 152-ФЗ, либо иных требований субъекта Оператор обязан самостоятельно отвечать на такие запросы и требования, в том числе удалять (уничтожать), вносить необходимые изменения в персональные данные самостоятельно либо путем направления запроса Обработчику с использованием функционала Платформы, если удаление/уничтожение данных технически невозможно силами Оператора.

8.3. В случае предъявления Обработчику претензий и требований от третьих лиц, в том числе от субъектов ПД и уполномоченных органов, в связи с исполнением Поручения, в том числе в случае предъявления претензии о неправомерности хостинга Обработчиком персональных данных, размещенных Оператором на Платформе при использовании ее функциональности, Оператор обязан самостоятельно, своими силами и за свой счет урегулировать такие претензии, оградить Обработчика от возможных убытков и участия в рассмотрении претензий, требований и возможном судебном разбирательстве. В случае возникновения необходимости участия Обработчика в урегулировании указанных выше претензий и/или требований, Обработчик имеет право требовать от Оператора возмещения возникших у него убытков и расходов, связанных с таким участием, включая, но не ограничиваясь расходами на представителя, ведение переговоров и иными расходами.

8.4. В случае предъявления Обработчику исковых требований от третьих лиц, в том числе от субъектов ПД и уполномоченных органов, в связи с исполнением Поручения, в том числе в случае предъявления претензии о неправомерности хостинга Обработчиком Персональных данных, размещенных Оператором на Платформе при использовании ее функциональности, результатом которых станет судебный акт о взыскании средств с Обработчика, вступивший в законную силу, последний имеет право требовать от Оператора возмещения Обработчику понесенных им расходов в процессе урегулирования судебного спора и во исполнение судебного решения, а также все понесенные Обработчиком судебные расходы, убытки в полном объеме.