Договор-поручение на обработку персональных данных (публичная оферта)
0. Как заключается договор
0.1. Мухин Никита Павлович, самозанятый (ИНН 773272376471), далее — «Обработчик», предлагает преподавателю, владельцу или администратору Сервиса (бот «Cheddar the checker» в мессенджере MAX и его мини-приложение), далее — «Оператор», заключить настоящий договор на условиях ниже.
0.2. Договор заключается, когда Оператор нажимает «Согласен(на)» на экране согласия в боте, где дана ссылка на эту страницу (ст. 435, 438 Гражданского кодекса РФ). Оператор идентифицируется по идентификатору и имени в MAX; Обработчик сохраняет время и версию принятых условий.
0.3. Оператор, действующий от организации, принимает условия от имени организации, только если вправе это делать; иначе организация подписывает договор отдельно.
1. Предмет договора
1.1. Оператор поручает, а Обработчик принимает на себя обработку персональных данных с использованием Сервиса на основании части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1.2. Цель обработки: учёт абонементов и занятий учеников, уведомления преподавателям и родителям. Иные цели Обработчик не преследует.
1.3. Категории субъектов: ученики (дети), их родители или законные представители, преподаватели и иные пользователи Сервиса со стороны Оператора.
1.4. Перечень данных: имя ученика; расписание, место и длительность занятий; отметки о проведении и отмене; оплаченные и оставшиеся занятия; суммы оплат; записи о занятии (тема, успехи, домашнее задание), если их вносит преподаватель; идентификатор и имя пользователя в MAX; роль в Сервисе; сведения о согласии пользователя. Специальные и биометрические данные не обрабатываются.
1.5. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача пользователям Сервиса в пределах их ролей, блокирование, удаление. Обработка автоматизированная. Распространение и иные действия, не названные в этом пункте, не совершаются.
2. Обязанности Обработчика
2.1. Обрабатывать данные только в пределах поручения и целей по п. 1.2; не использовать данные в своих иных целях; не передавать их третьим лицам, кроме хостинг-провайдера, облачного сервиса резервного копирования и мессенджера MAX, через который работает бот.
2.2. Соблюдать конфиденциальность данных и обеспечить их безопасность по статье 19 152-ФЗ. Применяются: вход в Сервис только по одноразовому приглашению; разграничение доступа по ролям; проверка подписи данных запуска мини-приложения на стороне сервера; шифрование канала связи (HTTPS); доступ к серверу только у Обработчика; ежедневное резервное копирование.
2.3. Хранить данные на серверах на территории Российской Федерации. Трансграничная передача не осуществляется.
2.4. В течение 24 часов с момента, как Обработчику стало известно об утечке или несанкционированном доступе к данным, сообщить об этом Оператору через бота или на электронную почту, указанную Оператором, чтобы Оператор мог уведомить Роскомнадзор в порядке и сроки, установленные частью 3.1 статьи 21 152-ФЗ.
2.5. По запросу Оператора в течение срока действия договора, в том числе до начала обработки, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных законом для обработки по поручению.
2.6. Выполнять переданные Оператором запросы субъектов на доступ, уточнение, блокирование и удаление в срок не более 10 рабочих дней. Субъект также может отозвать согласие и удалить свои данные непосредственно в боте.
2.7. Соблюдать принципы и правила обработки, установленные 152-ФЗ, и принимать меры для выполнения его требований, включая требования части 5 статьи 18 и статьи 18.1 закона.
3. Обязанности Оператора
3.1. Оператор отвечает перед субъектами данных и получает их согласия на обработку (для детей — у родителей), так как данные учеников в Сервис вводит Оператор. Сервис показывает родителю экран согласия и фиксирует его; Оператор вправе запросить выгрузку этих записей.
3.2. До начала обработки Оператор самостоятельно выполняет требования закона, адресованные ему как оператору, в том числе уведомляет Роскомнадзор, если это требуется.
3.3. Оператор не вводит в Сервис специальные категории данных (здоровье, религия, политические взгляды и т. п.), в том числе в заметках о занятиях.
3.4. Оператор обеспечивает, чтобы в Сервисе работали только лица, которым данные нужны для работы, и отключает тех, кто прекратил работу.
4. Срок и прекращение
4.1. Договор действует, пока Оператор пользуется Сервисом. Любая сторона может расторгнуть его, уведомив другую за 30 дней; Оператор может прекратить его, удалив свои данные кнопкой «Данные и согласие» в боте.
4.2. После прекращения договора Обработчик в течение 30 дней по запросу выгружает Оператору его данные и удаляет их из базы. Из резервных копий данные пропадают по сроку хранения копий, не более 30 дней.
5. Ответственность и споры
5.1. Обработчик отвечает перед Оператором за нарушение условий договора в порядке, предусмотренном законодательством Российской Федерации. Оператор отвечает перед субъектами данных за свои действия, а Обработчик — перед Оператором (часть 5 статьи 6 152-ФЗ).
5.2. Споры решаются путём переговоров, при недостижении согласия — в суде по правилам подсудности, предусмотренным законом.
6. Реквизиты Обработчика
Мухин Никита Павлович, самозанятый, ИНН 773272376471. Электронная почта: nmukhin05@mail.ru.