(Data Processing Agreement, DPA) Публичная оферта ООО «Регула Прайм» Применимое право: Российская Федерация Документ опубликован по адресу: https://regulaprime.ru/dpa
ПРЕАМБУЛА
Настоящее Поручение на обработку персональных данных (далее - «Поручение», «DPA») определяет условия, на которых ООО «Регула Прайм» (далее - «Обработчик», «Исполнитель») осуществляет обработку персональных данных по поручению Клиента (далее - «Оператор», «Клиент»), использующего Платформу Regula Prime. Настоящее Поручение оформляется в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и является обязательным приложением к Пользовательскому соглашению, опубликованному по адресу https://regulaprime.ru/terms. Настоящее Поручение является публичной офертой в смысле статьи 437 Гражданского кодекса Российской Федерации и адресовано неопределённому кругу юридических лиц и индивидуальных предпринимателей, использующих Платформу. Иерархия документов:
1. Индивидуальный договор с Клиентом (при наличии) - высший приоритет
2. Настоящее Поручение (DPA)
3. Пользовательское соглашение
4. Политика обработки персональных данных
5. SLA, Tariff Policy, иные документы Платформы В части, регулирующей обработку персональных данных, настоящее Поручение имеет приоритет над Пользовательским соглашением.
1. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
1.1. Закон о ПДн - Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
1.2. Оператор (Клиент) - юридическое лицо или индивидуальный предприниматель, который определяет цели и состав обрабатываемых персональных данных, использует Платформу Regula Prime и поручает Обработчику обработку персональных данных в рамках настоящего Поручения.
1.3. Обработчик (Исполнитель) - ООО «Регула Прайм», осуществляющее обработку персональных данных по поручению Оператора.
1.4. Платформа - программно-аппаратный комплекс Regula Prime, доступный через веб-интерфейс, API и иные технические каналы.
1.5. Персональные данные (ПДн) - любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных), передаваемая Оператором в Платформу или генерируемая в ней по поручению Оператора.
1.6. Субъект ПДн - физическое лицо, к которому относятся персональные данные.
1.7. Обработка ПДн - любое действие или совокупность действий с персональными данными в соответствии с п. 3 ст. 3 Закона о ПДн.
1.8. Инцидент - событие, повлёкшее или способное повлечь нарушение конфиденциальности, целостности или доступности персональных данных, в том числе неправомерный или случайный доступ, уничтожение, изменение, блокирование, копирование, предоставление, распространение или иные неправомерные действия.
1.9. Субподрядчик (Sub-processor) - третье лицо, привлекаемое Обработчиком для отдельных операций обработки персональных данных в рамках настоящего Поручения.
1.10. Контент Клиента - данные, документы, файлы и иные сведения, загруженные Оператором или его уполномоченными представителями в Платформу, в том числе содержащие персональные данные.
2. ПРЕДМЕТ И ПОРЯДОК АКЦЕПТА
2.1. Оператор поручает, а Обработчик обязуется осуществлять обработку персональных данных в объёме и на условиях, определённых настоящим Поручением, с целью предоставления Оператору функций Платформы Regula Prime.
2.2. Обработчик действует исключительно по поручению Оператора и в его интересах. Обработчик не определяет самостоятельно цели обработки персональных данных, передаваемых ему Оператором в рамках настоящего Поручения.
2.3. Способы акцепта. Настоящее Поручение считается заключённым с момента совершения Оператором любого из следующих действий: регистрация Аккаунта на Платформе с проставлением отметки об ознакомлении с настоящим Поручением; оплата вознаграждения за использование Платформы; загрузка в Платформу первого файла, документа или иных сведений, содержащих персональные данные; подписание индивидуального договора, содержащего отсылку к настоящему Поручению; иное конклюдентное действие, явно свидетельствующее о намерении использовать Платформу для обработки персональных данных.
2.4. Лицо, совершающее акцепт от имени Оператора, подтверждает наличие полномочий на заключение настоящего Поручения.
2.5. Факт акцепта фиксируется в технических логах Платформы с указанием даты, времени, IP-адреса, идентификатора Аккаунта и хеша редакции документа. Логи хранятся в течение 3 лет с момента прекращения договорных отношений.
3. РОЛИ И СТАТУС СТОРОН
3.1. В отношении персональных данных, передаваемых Оператором в Платформу или генерируемых в ней по его поручению: Оператор является оператором персональных данных в смысле п. 2 ст. 3 Закона о ПДн; Обработчик действует как лицо, осуществляющее обработку персональных данных по поручению оператора, в смысле ч. 3 ст. 6 Закона о ПДн.
3.2. В отношении персональных данных, обрабатываемых Обработчиком в собственных целях (контактные и платёжные данные представителей Оператора, данные для администрирования Аккаунта, биллинга, поддержки), Обработчик действует как самостоятельный оператор. Указанная обработка регулируется Политикой обработки персональных данных Обработчика, опубликованной по адресу https://regulaprime.ru/privacy, и не является предметом настоящего Поручения.
3.3. Оператор гарантирует наличие законных оснований для передачи персональных данных Обработчику, в том числе: наличие согласий субъектов персональных данных, если такие согласия требуются; наличие иных оснований обработки, предусмотренных ст. 6, 10, 11 Закона о ПДн; соблюдение принципов и условий обработки, установленных ст. 5 Закона о ПДн.
3.4. Оператор несёт самостоятельную ответственность перед субъектами персональных данных, Роскомнадзором и иными уполномоченными органами за законность обработки персональных данных, переданных Обработчику.
4. ЦЕЛИ, ДЕЙСТВИЯ И СРОКИ ОБРАБОТКИ
4.1. Цели обработки персональных данных: предоставление функций Платформы Regula Prime; хранение и структурирование Контента Клиента; генерация документов, отчётов, аудиторных следов; автоматизированный анализ рисков и формирование рекомендаций; регуляторный мониторинг и формирование уведомлений; обеспечение API-доступа и интеграций; техническая поддержка Оператора; обеспечение безопасности и расследование инцидентов; исполнение требований законодательства.
4.2. Действия с персональными данными, поручаемые Обработчику: сбор (приём через интерфейс или API); запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование в рамках функций Платформы; передача (предоставление, доступ) уполномоченным представителям Оператора; блокирование; удаление; уничтожение.
4.3. Действия по распространению персональных данных и трансграничной передаче Обработчиком не осуществляются в рамках настоящего Поручения.
4.4. Способы обработки: автоматизированная обработка с использованием средств вычислительной техники, в том числе с применением технологий искусственного интеллекта, в пределах, согласованных в Пользовательском соглашении.
4.5. Перечень персональных данных и категории субъектов определены в Приложении № 1 к настоящему Поручению.
4.6. Срок обработки: персональные данные обрабатываются Обработчиком в течение срока действия Аккаунта Оператора на Платформе; после прекращения договорных отношений применяется порядок, установленный разделом 17 настоящего Поручения.
5. ОБЯЗАННОСТИ ОБРАБОТЧИКА
5.1. Обработчик обязуется: осуществлять обработку персональных данных исключительно в целях и в объёме, определённых настоящим Поручением; не передавать персональные данные третьим лицам, кроме субподрядчиков, привлечённых в соответствии с разделом 7; обеспечивать конфиденциальность персональных данных; обеспечивать безопасность персональных данных в соответствии с разделом 8; не использовать персональные данные в собственных интересах, кроме случаев, прямо разрешённых настоящим Поручением; незамедлительно уведомлять Оператора об обращениях субъектов персональных данных, поступивших напрямую Обработчику (раздел 11); незамедлительно уведомлять Оператора об инцидентах (раздел 10); оказывать Оператору разумное содействие в исполнении его обязанностей как оператора персональных данных; по требованию Оператора предоставлять информацию, необходимую для подтверждения соблюдения настоящего Поручения (раздел 12).
5.2. Обработчик обеспечивает ознакомление своих работников, имеющих доступ к персональным данным, с положениями законодательства о персональных данных, локальными актами Обработчика и обязанностью соблюдения конфиденциальности.
5.3. Обработчик ведёт реестр операций обработки персональных данных, осуществляемых по поручению Оператора, в объёме, достаточном для подтверждения соблюдения настоящего Поручения.
5.4. Обработчик назначает лицо, ответственное за организацию обработки персональных данных в соответствии со ст. 22.1 Закона о ПДн. Контактные данные указанного лица публикуются на странице https://regulaprime.ru/privacy.
5.5. Обработчик подаёт уведомление в Роскомнадзор об обработке персональных данных в соответствии со ст. 22 Закона о ПДн с указанием статуса лица, осуществляющего обработку по поручению.
5.6. Обработчик обеспечивает локализацию обработки персональных данных граждан Российской Федерации на территории Российской Федерации в соответствии с ч. 5 ст. 18 Закона о ПДн (раздел 9).
5.7. Обработчик обеспечивает раздельную обработку данных каждого Оператора (логическое разделение, мультитенантная архитектура) и исключает несанкционированный доступ одного Оператора к данным другого.
5.8. Обработчик не осуществляет принятие юридически значимых решений в отношении субъектов персональных данных исключительно на основании автоматизированной обработки (ст. 16 Закона о ПДн). Все результаты автоматизированной обработки, в том числе результаты работы AI-функций, носят рекомендательный характер и требуют проверки человеком (human-in-the-loop) со стороны Оператора.
5.9. Обработчик не осуществляет действий по идентификации и деанонимизации обезличенных данных.
5.10. Запрет на обучение моделей. Обработчик не использует Контент Клиента и содержащиеся в нём персональные данные для обучения, дообучения, тонкой настройки моделей искусственного интеллекта или иных моделей машинного обучения, кроме случаев получения прямого письменного согласия Оператора, оформленного в виде отдельного документа.
6. ОБЯЗАННОСТИ И ГАРАНТИИ ОПЕРАТОРА
6.1. Оператор гарантирует, что: обладает правом на передачу персональных данных Обработчику; получил все согласия субъектов персональных данных, требуемые законодательством, или имеет иные законные основания обработки; проинформировал субъектов персональных данных о привлечении Обработчика в случаях, когда это требуется законодательством; передаёт Обработчику только те персональные данные, которые объективно необходимы для целей, указанных в разделе 4; не передаёт Обработчику персональные данные, обработка которых не предусмотрена настоящим Поручением (например, биометрические данные, специальные категории - если такая обработка не согласована отдельно); соблюдает принципы минимизации, точности и срочности хранения персональных данных.
6.2. Оператор обязуется: настраивать Платформу в соответствии с целями и основаниями обработки; управлять правами доступа своих работников и представителей; своевременно блокировать доступ работников, утративших полномочия; использовать функции экспорта, удаления, блокирования персональных данных для исполнения обращений субъектов; уведомлять Обработчика об изменении состава категорий персональных данных и категорий субъектов, если это влияет на условия обработки.
6.3. Оператор обязуется не использовать Платформу для обработки: персональных данных в целях, противоречащих законодательству; персональных данных, полученных из неправомерных источников; персональных данных, в отношении которых истёк срок законного хранения и не существует оснований для дальнейшей обработки.
6.4. Оператор самостоятельно реагирует на обращения субъектов персональных данных, направленные в его адрес, и принимает решения по таким обращениям. Обработчик оказывает Оператору техническое содействие в порядке, установленном разделом 11.
7. СУБПОДРЯДЧИКИ
7.1. Оператор настоящим даёт общее согласие на привлечение Обработчиком субподрядчиков (sub-processors) для отдельных операций обработки персональных данных, при условии: субподрядчик обеспечивает уровень защиты не ниже установленного настоящим Поручением; субподрядчик связан договорными обязательствами по конфиденциальности и защите персональных данных; субподрядчик включён в актуальный перечень, опубликованный по адресу https://regulaprime.ru/subprocessors и приведённый в Приложении № 2.
7.2. Обработчик уведомляет Оператора об изменении состава субподрядчиков не менее чем за 30 календарных дней до начала привлечения нового субподрядчика, путём: обновления перечня по адресу https://regulaprime.ru/subprocessors; направления уведомления на электронную почту, указанную в Аккаунте Оператора, либо размещения уведомления в личном кабинете Платформы.
7.3. Оператор вправе в течение 30 календарных дней с момента уведомления направить мотивированное возражение против привлечения конкретного субподрядчика. При наличии возражения Стороны проводят переговоры. При недостижении соглашения Оператор вправе расторгнуть договор с возвратом авансовых платежей за неиспользованный период.
7.4. Обработчик несёт ответственность за действия субподрядчиков как за свои собственные в пределах ответственности Обработчика, установленной настоящим Поручением.
7.5. Обработчик не привлекает в качестве субподрядчиков лиц, обеспечивающих обработку персональных данных за пределами Российской Федерации, без отдельного письменного согласия Оператора.
8. БЕЗОПАСНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Обработчик принимает технические и организационные меры, направленные на защиту персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также иных неправомерных действий, в соответствии с: статьёй 19 Закона о ПДн; Постановлением Правительства РФ от 01.11.2012 № 1119; Приказом ФСТЭК России от 18.02.2013 № 21; иными нормативными актами уполномоченных органов в сфере защиты информации.
8.2. Уровень защищённости информационной системы персональных данных Обработчика определяется в соответствии с Постановлением Правительства РФ № 1119 и фиксируется в Акте классификации, копия которого предоставляется Оператору по обоснованному запросу.
8.3. Перечень технических и организационных мер приведён в Приложении № 3 к настоящему Поручению и включает: разграничение прав доступа и ролевую модель; многофакторную аутентификацию для административного доступа; журналирование действий пользователей; шифрование каналов передачи данных (TLS 1.2 и выше); шифрование хранилищ персональных данных; резервное копирование с шифрованием; контроль съёмных носителей; регулярное обновление программного обеспечения и устранение уязвимостей; использование средств антивирусной защиты; обучение работников требованиям защиты персональных данных; проведение внутренних проверок соблюдения требований; мониторинг событий безопасности.
8.4. Обработчик регулярно пересматривает применяемые меры защиты с учётом изменений законодательства, технологий и оценки актуальных угроз.
8.5. Оператор обязуется со своей стороны: использовать сильные пароли и многофакторную аутентификацию; не передавать учётные данные третьим лицам; своевременно отзывать доступы у работников и представителей, утративших полномочия; использовать защищённые каналы связи при работе с Платформой.
8.6. Стороны признают, что Обработчик не несёт ответственности за инциденты, вызванные: компрометацией учётных данных по вине Оператора; действиями работников и представителей Оператора; использованием Платформы в нарушение Пользовательского соглашения; настройками Платформы, выбранными Оператором, при наличии у него возможности применить более защищённые настройки.
9. ЛОКАЛИЗАЦИЯ И ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА
9.1. Обработчик обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Закона о ПДн.
9.2. Серверные мощности и хранилища данных Обработчика размещены у российских провайдеров облачной инфраструктуры, перечисленных в Приложении № 2, на территории Российской Федерации.
9.3. Обработчик не осуществляет трансграничную передачу персональных данных в рамках настоящего Поручения.
9.4. В случае возникновения объективной необходимости трансграничной передачи персональных данных Обработчик уведомляет Оператора заранее, получает его письменное согласие и подаёт уведомление в Роскомнадзор в соответствии со ст. 12 Закона о ПДн.
9.5. При использовании AI-функций Платформы обработка осуществляется на инфраструктуре, расположенной на территории Российской Федерации. Передача персональных данных Оператора в зарубежные AI-сервисы (включая OpenAI, Anthropic, Google и иные) не осуществляется без отдельного письменного согласия Оператора.
10. ИНЦИДЕНТЫ И УВЕДОМЛЕНИЯ
10.1. При обнаружении инцидента Обработчик уведомляет Оператора не позднее 24 часов с момента обнаружения инцидента, по контактным данным, указанным в Аккаунте Оператора, и/или на электронную почту, согласованную для целей экстренной связи.
10.2. Первичное уведомление содержит: дату и время обнаружения инцидента; предварительное описание характера инцидента; предположительные категории и объём затронутых персональных данных; предположительное количество затронутых субъектов; предварительные меры, принятые Обработчиком.
10.3. Результаты внутреннего расследования Обработчик направляет Оператору не позднее 72 часов с момента обнаружения инцидента, с указанием: установленных причин инцидента; точного объёма затронутых персональных данных и количества субъектов; последствий инцидента; предпринятых и планируемых мер по устранению последствий и предотвращению повторения; рекомендаций Оператору в части его обязанности уведомления Роскомнадзора.
10.4. Форма уведомления об инциденте приведена в Приложении № 4 к настоящему Поручению.
10.5. Обработчик параллельно исполняет собственную обязанность уведомления Роскомнадзора в соответствии с ч. 3.1 ст. 21 Закона о ПДн в части инцидентов, затрагивающих обрабатываемые им данные.
10.6. Оператор самостоятельно принимает решение о направлении уведомления в Роскомнадзор от своего имени как оператора персональных данных, исходя из информации, предоставленной Обработчиком.
10.7. Канал экстренной связи по вопросам инцидентов: help@regulaprime.ru, телефон будет указан после регистрации ООО.
10.8. Обработчик ведёт реестр инцидентов и хранит сведения о них в течение 3 лет.
11. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
11.1. В случае получения Обработчиком обращения от субъекта персональных данных, относящегося к данным, обрабатываемым по поручению Оператора, Обработчик: не отвечает по существу обращения от своего имени; незамедлительно (не позднее 1 рабочего дня) перенаправляет обращение Оператору; информирует субъекта о направлении обращения Оператору и предоставляет контактные данные Оператора, если они известны и могут быть раскрыты.
11.2. Обработчик предоставляет Оператору технические инструменты Платформы для исполнения обязанностей перед субъектами персональных данных, в том числе: доступ к данным конкретного субъекта; экспорт данных в машиночитаемом формате; редактирование и уточнение данных; блокирование и удаление данных; ограничение обработки.
11.3. Оператор самостоятельно отвечает за полноту и своевременность ответа субъекту в установленные законом сроки (по общему правилу - 10 рабочих дней с возможностью продления до 15 рабочих дней).
11.4. Обработчик оказывает Оператору разумное техническое содействие в исполнении обращений субъектов. Содействие, выходящее за рамки стандартных функций Платформы (например, индивидуальные выгрузки, ручное удаление, расследования), может оказываться на платной основе по согласованию Сторон.
12. АУДИТ И ПОДТВЕРЖДЕНИЕ СООТВЕТСТВИЯ
12.1. Оператор вправе проверять соблюдение Обработчиком условий настоящего Поручения путём: запроса документов и сведений о применяемых мерах защиты; запроса копий внутренних регламентов, политик и приказов в части, относящейся к обработке данных Оператора; ознакомления с отчётами независимых аудиторов и сертификатами Обработчика; проведения аудита в соответствии с п. 12.2.
12.2. Условия проведения аудита Оператором: аудит проводится не чаще 1 раза в календарный год, за исключением случаев инцидента или обоснованного подозрения на нарушение; Оператор направляет письменное уведомление о проведении аудита не позднее чем за 30 календарных дней до его начала; Стороны согласуют объём, методы и сроки аудита; аудит не должен приводить к нарушению конфиденциальности данных других Операторов и непрерывности работы Платформы; расходы на проведение аудита несёт Оператор, инициирующий аудит; результаты аудита являются конфиденциальной информацией; Обработчик вправе предложить замену непосредственного аудита предоставлением отчёта независимого внешнего аудитора либо сертификата соответствия требованиям информационной безопасности.
12.3. Обработчик предоставляет Оператору по его обоснованному запросу: копию Акта классификации информационной системы персональных данных; копию приказа о назначении ответственного за обработку персональных данных; сведения о текущем составе субподрядчиков; сведения о применяемых технических и организационных мерах; иные документы, подтверждающие соблюдение настоящего Поручения.
12.4. Сведения, составляющие коммерческую тайну Обработчика (исходный код, архитектурные решения, контрактные условия с субподрядчиками), не подлежат раскрытию в рамках аудита.
13. ОТВЕТСТВЕННОСТЬ
13.1. Стороны несут ответственность за неисполнение или ненадлежащее исполнение настоящего Поручения в соответствии с законодательством Российской Федерации и условиями Пользовательского соглашения.
13.2. Ответственность перед субъектами персональных данных. В соответствии с ч. 5 ст. 6 Закона о ПДн, ответственность перед субъектами персональных данных за действия Обработчика несёт Оператор. Это не лишает Оператора права предъявления Обработчику регрессных требований в порядке раздела 14.
13.3. Ограничение ответственности Обработчика. Совокупная ответственность Обработчика по настоящему Поручению ограничивается наименьшей из следующих величин: сумма вознаграждения, фактически уплаченная Оператором Обработчику за последние 12 (двенадцать) календарных месяцев, умноженная на 3 (три); 3 000 000 (три миллиона) рублей.
13.4. Обработчик не несёт ответственности за: косвенные убытки, упущенную выгоду, репутационный вред, если иное не установлено обязательными нормами права; последствия действий или бездействия Оператора, его работников и представителей; последствия предоставления Оператором недостоверных или незаконно полученных данных; штрафы и санкции, наложенные на Оператора уполномоченными органами в связи с нарушениями, допущенными Оператором как самостоятельным оператором персональных данных; инциденты, вызванные обстоятельствами, указанными в п. 8.6.
13.5. Оговорка об умысле и грубой неосторожности. Ограничения ответственности, установленные настоящим разделом, не применяются в случаях умысла или грубой неосторожности Обработчика в соответствии с п. 4 ст. 401 ГК РФ.
13.6. Стороны рассматривают ограничение ответственности как существенное условие настоящего Поручения, учтённое при формировании коммерческих условий использования Платформы.
14. ВОЗМЕЩЕНИЕ ПОТЕРЬ (INDEMNIFICATION)
14.1. Оператор обязуется возместить Обработчику все убытки, штрафы, расходы (включая разумные расходы на юридическую защиту), возникшие у Обработчика в результате: нарушения Оператором гарантий, установленных разделом 6 настоящего Поручения; передачи Оператором персональных данных, полученных в нарушение законодательства; отсутствия или дефектности согласий субъектов персональных данных; использования Платформы в нарушение Пользовательского соглашения; претензий третьих лиц, основанных на действиях Оператора; предписаний, штрафов и иных мер реагирования уполномоченных органов, причиной которых послужили действия Оператора.
14.2. Обработчик обязуется возместить Оператору документально подтверждённые штрафы, наложенные на Оператора Роскомнадзором и связанные исключительно с действиями Обработчика, в пределах ограничения ответственности, установленного п. 13.3.
14.3. Сторона, получившая претензию третьего лица, относящуюся к ответственности другой Стороны по настоящему разделу, обязана: незамедлительно (не позднее 5 рабочих дней) уведомить другую Сторону; предоставить другой Стороне разумную возможность участвовать в защите; не признавать претензию и не заключать соглашений об урегулировании без согласия другой Стороны.
15. КОНФИДЕНЦИАЛЬНОСТЬ
15.1. Каждая Сторона обязуется сохранять конфиденциальность информации, полученной от другой Стороны в связи с исполнением настоящего Поручения, в том числе персональных данных, коммерческих условий, технических сведений, отчётов, аудиторных следов.
15.2. Обязанность сохранения конфиденциальности действует в течение всего срока действия настоящего Поручения и 5 (пяти) лет после его прекращения.
15.3. Обработчик обеспечивает заключение соглашений о неразглашении со всеми работниками и представителями, имеющими доступ к персональным данным Оператора.
15.4. Раскрытие конфиденциальной информации допускается только: в объёме, необходимом для исполнения настоящего Поручения; по требованию уполномоченных государственных органов в установленном законом порядке; с письменного согласия другой Стороны.
15.5. Сторона, к которой обращены требования государственных органов о раскрытии конфиденциальной информации, обязана уведомить другую Сторону в кратчайший возможный срок, если такое уведомление не запрещено законом.
16. СРОК ДЕЙСТВИЯ
16.1. Настоящее Поручение вступает в силу с момента акцепта в порядке раздела 2 и действует в течение всего срока использования Оператором Платформы Regula Prime.
16.2. Прекращение действия Пользовательского соглашения автоматически прекращает действие настоящего Поручения, за исключением положений, которые по своей природе сохраняют силу после прекращения договора (конфиденциальность, ответственность, возмещение потерь, удаление данных).
16.3. Обработчик вправе вносить изменения в настоящее Поручение в порядке, установленном Пользовательским соглашением. Существенные изменения, влияющие на права и обязанности Оператора как оператора персональных данных, доводятся до сведения Оператора не менее чем за 30 календарных дней до их вступления в силу.
17. ВОЗВРАТ И УДАЛЕНИЕ ДАННЫХ
17.1. При прекращении договорных отношений Оператор имеет право в течение 30 календарных дней с момента прекращения: скачать Контент Клиента и связанные с ним персональные данные через функции экспорта Платформы; запросить выгрузку данных в согласованном формате (при необходимости индивидуальной выгрузки - за дополнительную плату).
17.2. По истечении 30 календарных дней Обработчик блокирует доступ к Аккаунту и Контенту Клиента.
17.3. В течение 90 календарных дней с момента прекламирования договорных отношений Обработчик уничтожает персональные данные Оператора, включая: данные основного хранилища; данные резервных копий; данные технических логов, содержащих персональные данные (за исключением логов, подлежащих обязательному хранению по закону).
17.4. Обработчик предоставляет Оператору акт об уничтожении персональных данных по его запросу.
17.5. Обработчик вправе сохранять обезличенные сведения, которые не могут быть отнесены к конкретному субъекту, в статистических и аналитических целях.
17.6. Обработчик вправе сохранять сведения, обязательное хранение которых предусмотрено законодательством (бухгалтерские, налоговые, антиотмывочные требования), в течение установленных законом сроков.
18. ПРИМЕНИМОЕ ПРАВО И РАЗРЕШЕНИЕ СПОРОВ
18.1. К настоящему Поручению применяется право Российской Федерации.
18.2. Споры подлежат разрешению путём переговоров. Претензионный порядок обязателен. Срок ответа на претензию - 30 календарных дней.
18.3. При недостижении соглашения споры передаются на разрешение арбитражного суда по месту нахождения Обработчика, если иное не установлено обязательными нормами процессуального права.
19. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
19.1. В части, не урегулированной настоящим Поручением, применяются положения Пользовательского соглашения и законодательства Российской Федерации.
19.2. Недействительность отдельного положения настоящего Поручения не влечёт недействительности остальных положений.
19.3. Уведомления направляются по электронной почте, через интерфейс Платформы или иным согласованным способом. Уведомления, направленные на электронную почту, указанную в Аккаунте Оператора, считаются доставленными в день отправки.
19.4. Настоящее Поручение составлено на русском языке. Перевод на иные языки является информационным и не имеет преимущественной юридической силы.
20. КОНТАКТЫ ОБРАБОТЧИКА
Назначение Общие вопросы Контакт help@regulaprime.ru Вопросы обработки ПДн help@regulaprime.ru Ответственный за ПДн (DPO) help@regulaprime.ru Инциденты безопасности (24/7) help@regulaprime.ru Юридические вопросы help@regulaprime.ru Сайт https://regulaprime.ru
21. РЕКВИЗИТЫ ОБРАБОТЧИКА
ООО «Регула Прайм» ОГРН: 1267700224076 ИНН: 9734027027 КПП: 773401001 Юридический адрес: 123308, г. Москва, вн. тер. г. муниципальный округ Хорошево-Мневники, Новохорошевский проезд, д. 7, помещ. 6П Расчётный счёт: [заполняется после открытия счёта] Банк: [заполняется] БИК: [заполняется] Корреспондентский счёт: [заполняется]
ПРИЛОЖЕНИЕ № 1
Перечень персональных данных, категорий субъектов и целей обработки
1. Категории субъектов персональных данных № Категория Источник данных 1 2 3 4 Работники Оператора Клиенты Оператора (физические лица) Загружается Оператором Загружается Оператором Контрагенты Оператора (физические лица, представители Загружается юридических лиц) Оператором Иные субъекты, упоминаемые в документах и материалах, Загружается загружаемых Оператором Оператором
2. Категории персональных данных
2.1. Общие персональные данные: фамилия, имя, отчество; дата и место рождения; паспортные данные; адрес регистрации и фактического проживания; номер телефона; адрес электронной почты;
ИНН, СНИЛС;
сведения о месте работы и должности; сведения о доходах (при наличии в загружаемых документах); иные общие персональные данные, содержащиеся в Контенте Клиента.
2.2. Специальные категории персональных данных: Обработка специальных категорий персональных данных (сведения о состоянии здоровья, расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, интимной жизни) по умолчанию не предусмотрена настоящим Поручением. При необходимости обработки специальных категорий ПДн Оператор обязан: уведомить Обработчика; подтвердить наличие законных оснований обработки; при необходимости согласовать дополнительные меры защиты.
2.3. Биометрические персональные данные: Обработка биометрических персональных данных настоящим Поручением не предусмотрена.
3. Действия с персональными данными См. п. 4.2 основного текста Поручения.
4. Цели обработки См. п. 4.1 основного текста Поручения.
5. Сроки обработки Персональные данные обрабатываются в течение срока действия Аккаунта Оператора и удаляются в порядке раздела 17 после прекращения договорных отношений.
ПРИЛОЖЕНИЕ № 2
Перечень субподрядчиков (sub-processors) Актуальная версия публикуется по адресу https://regulaprime.ru/subprocessors
1. Облачная инфраструктура и хостинг Поставщик Назначение Локация Яндекс.Облако (ООО Основная вычислительная «Яндекс.Облако») инфраструктура, хранилища VK Cloud (ООО «Облачные Резервная инфраструктура, объектное технологии») хранилище Selectel (ООО «Селектел») Дополнительные вычислительные мощности РФ РФ РФ
2. Информационная безопасность Поставщик Назначение Локация Kaspersky (АО «Лаборатория Антивирусная защита, Касперского») мониторинг угроз РФ Positive Technologies (АО «Позитив Текнолоджиз») Сканеры уязвимостей, SIEM РФ
3. Платёжные и биллинговые сервисы Поставщик Назначение Локация ЮKassa (ООО «НКО «ЮMoney») Приём платежей от Операторов ПАО Банк «ФК Открытие» / банк Расчётно-кассовое обслуживание, «Точка»
CRM
4. Коммуникационные сервисы Поставщик Назначение UniSender / Sendsay Email-рассылки (служебные уведомления) SMS Aero / SMSC SMS-уведомления
5. Аналитика РФ РФ Локация РФ РФ Поставщик Назначение Локация Яндекс.Метрика Веб-аналитика сайта РФ Примечание: окончательный состав субподрядчиков формируется на этапе технической готовности Платформы. Любые изменения публикуются с уведомлением Операторов не менее чем за 30 календарных дней.
ПРИЛОЖЕНИЕ № 3
Технические и организационные меры защиты персональных данных
1. Организационные меры
1.1. Назначен ответственный за организацию обработки персональных данных в соответствии со ст. 22.1 Закона о ПДн.
1.2. Утверждены локальные нормативные акты: Политика обработки персональных данных; Положение о защите персональных данных; Регламент реагирования на инциденты; Регламент управления доступом; Регламент использования AI-функций; Регламент уничтожения персональных данных.
1.3. Работники, имеющие доступ к персональным данным, ознакомлены под подпись с локальными актами и подписали обязательства о неразглашении.
1.4. Проводится регулярное обучение работников требованиям защиты персональных данных (не реже 1 раза в год).
1.5. Ведётся реестр процессов обработки персональных данных и реестр инцидентов.
1.6. Проводится внутренний аудит соблюдения требований не реже 1 раза в год.
2. Технические меры
2.1. Разграничение доступа: ролевая модель доступа (RBAC); принцип минимальных привилегий; многофакторная аутентификация для административного доступа; индивидуальные учётные записи (запрет общих учёток); регулярный пересмотр прав доступа.
2.2. Журналирование: ведение журналов действий пользователей и администраторов; защита журналов от модификации; хранение журналов не менее 6 месяцев; мониторинг аномалий.
2.3. Криптографическая защита: шифрование каналов передачи (TLS 1.2+); шифрование хранилищ персональных данных (at rest); шифрование резервных копий; использование сертифицированных средств криптографической защиты в случаях, требуемых законодательством.
2.4. Защита от вредоносного кода: использование антивирусных средств; регулярное обновление сигнатур; сканирование загружаемых файлов.
2.5. Управление уязвимостями: регулярное сканирование; своевременная установка обновлений безопасности; проведение тестирования на проникновение (penetration testing) не реже 1 раза в год.
2.6. Резервное копирование: ежедневное автоматическое резервное копирование; хранение резервных копий в отдельной зоне; регулярная проверка восстановимости.
2.7. Контроль съёмных носителей: запрет использования личных съёмных носителей; учёт и контроль корпоративных носителей.
2.8. Сегментация сети: разделение продуктивной и тестовой сред; межсетевое экранирование; защита периметра.
3. Физическая безопасность
3.1. Серверная инфраструктура размещена в сертифицированных центрах обработки данных российских провайдеров с уровнем не ниже Tier III и физическим контролем доступа.
3.2. Офисные помещения Обработчика оборудованы системами контроля доступа и видеонаблюдения.
4. Соответствие требованиям
4.1. Информационные системы Обработчика соответствуют требованиям: ст. 19 Закона о ПДн; Постановления Правительства РФ от 01.11.2012 № 1119; Приказа ФСТЭК России от 18.02.2013 № 21; Приказа ФСБ России от 10.07.2014 № 378 (в применимой части).
4.2. Уровень защищённости информационной системы определён в Акте классификации.
ПРИЛОЖЕНИЕ № 4
Форма уведомления Оператора об инциденте
УВЕДОМЛЕНИЕ ОБ ИНЦИДЕНТЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Тип уведомления: [Первичное / Промежуточное / Финальное] Номер инцидента: INC-______-______ Дата и время уведомления: __________
1. ИДЕНТИФИКАЦИЯ ИНЦИДЕНТА
1.1. Дата и время обнаружения: __________
1.2. Источник обнаружения: __________
1.3. Краткое описание: __________
2. ХАРАКТЕР ИНЦИДЕНТА
2.1. Тип инцидента: [ ] Неправомерный доступ [ ] Утечка данных [ ] Уничтожение данных [ ] Изменение данных [ ] Блокирование данных [ ] Иное: __________
2.2. Причина инцидента (если известна): __________
3. ЗАТРОНУТЫЕ ДАННЫЕ
3.1. Категории затронутых ПДн: __________
3.2. Приблизительное количество субъектов: __________
3.3. Категории затронутых субъектов: __________
4. ПОСЛЕДСТВИЯ
4.1. Подтверждённые последствия: __________
4.2. Потенциальные риски для субъектов: __________
5. ПРЕДПРИНЯТЫЕ МЕРЫ
5.1. Меры по локализации: __________
5.2. Меры по устранению последствий: __________
5.3. Меры по предотвращению повторения: __________
6. РЕКОМЕНДАЦИИ ОПЕРАТОРУ
6.1. Рекомендация по уведомлению Роскомнадзора: [Да / Нет / Зависит от оценки О
6.2. Рекомендация по уведомлению субъектов: [Да / Нет / Зависит от оценки Опера
6.3. Иные рекомендации: __________
7. КОНТАКТЫ
Ответственный со стороны Обработчика: __________ Телефон: __________ Email: help@regulaprime.ru Подпись ответственного лица Обработчика: __________
Документ опубликован на официальном сайте ООО «Регула Прайм» по адресу https://regulaprime.ru/dpa и является обязательным приложением к Пользовательскому соглашению.