Договор поручения обработки персональных данных

1. Термины и определения

• Клиент / Оператор — лицо (ЮЛ/ИП), акцептовавшее Оферту и использующее Сервис; лицо, организующее и осуществляющее обработку ПДн и определяющее цели и состав ПДн.
• Исполнитель / Обработчик — лицо, предоставляющее Сервис Aisell и обрабатывающее ПДн по поручению Клиента.
• Сервис — программный комплекс Aisell (личный кабинет, API, интеграции, функциональность чат-агентов и сопутствующие компоненты).
• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн).
• Контент Клиента — сведения, размещенные/внесенные Клиентом в Сервис и/или полученные в рамках использования Сервиса (включая сообщения, историю коммуникаций, заявки/записи и атрибуты лидов), которые могут содержать ПДн.
• Пользователь Клиента — физическое лицо, использующее Сервис от имени Клиента (сотрудник/подрядчик) в пределах полномочий, предоставленных Клиентом.
• Каналы — подключаемые Клиентом средства коммуникации (мессенджеры, соцсети, телефония, виджеты и др.).
• Интеграции — подключаемые Клиентом сторонние сервисы (CRM, системы записи, телефония и пр.), с которыми Сервис обменивается данными по настройкам Клиента.
• Инструкции — документированные указания Клиента Исполнителю относительно обработки ПДн в составе Контента Клиента.
• Субобработчик — третье лицо, привлекаемое Исполнителем для обработки ПДн по поручению Клиента (как правило, инфраструктурный провайдер), при условии принятия на себя обязанностей по защите ПДн не ниже предусмотренных настоящим Поручением.
• Инцидент — событие, повлекшее или способное повлечь незаконный доступ к ПДн, утрату, уничтожение, изменение, блокирование, копирование, предоставление, распространение ПДн либо иные нарушения безопасности ПДн.

Если термин не определен в Поручении, он толкуется в соответствии с Офертой и применимым законодательством РФ.

2. Стороны, роли и область применения

2.1. Роли

• Клиент является оператором ПДн в отношении ПДн, содержащихся в Контенте Клиента.
• Исполнитель является обработчиком и обрабатывает ПДн в составе Контента Клиента исключительно по поручению Клиента и в пределах Инструкций.

2.2. Реквизиты и контакты Исполнителя

• Исполнитель: индивидуальный предприниматель Александров Данила Викторович
• ИНН: 753005297697
• ОГРНИП: 325750000030066
• Email (юридически значимые сообщения): legal@aisel.pro
• Email по вопросам ПДн/инцидентов (ответственный): Александров Данила Викторович, privacy@aisel.pro
• Техническая поддержка: support@aisell.pro

2.3. Что не покрывается Поручением

Настоящее Поручение не регулирует обработку ПДн, где Исполнитель выступает оператором. Такая обработка регулируется политикой Исполнителя по адресу https://aisell.pro/legal/policy/actual.

3. Предмет поручения и параметры обработки

3.1. Суть поручения

Клиент поручает, а Исполнитель обязуется осуществлять обработку ПДн в составе Контента Клиента для предоставления Сервиса и исполнения Оферты, в соответствии с Инструкциями Клиента и применимым законодательством Российской Федерации.

3.2. Параметры обработки (в пределах Инструкций Клиента)

3.3. Запрет на специальные категории и биометрию (если не согласовано)

Клиент не поручает Исполнителю обработку специальных категорий ПДн и биометрических ПДн, а также данных о несовершеннолетних, если иное прямо не предусмотрено применимым правом и не согласовано сторонами письменно с определением дополнительных мер защиты.

4. Инструкции Клиента

4.1. Как формируются Инструкции

Инструкции Клиента фиксируются и передаются Исполнителю одним или несколькими способами:

• настройками и действиями Клиента/Пользователей Клиента в личном кабинете Сервиса (подключение Каналов/Интеграций, логика агента, поля, маршрутизация, правила обработки);
• письменными обращениями Клиента в поддержку и/или по юридически значимым каналам связи;
• условиями Оферты и настоящего Поручения как стандартными инструкциями использования Сервиса.

4.2. Незаконные/невыполнимые Инструкции

Если Инструкция Клиента противоречит применимому праву или техническим ограничениям Сервиса, Исполнитель уведомляет Клиента и предлагает корректировку Инструкции. Исполнитель вправе приостановить выполнение Инструкции при наличии обоснованных признаков ее незаконности.

5. Заверения и гарантии Клиента

Клиент заверяет и гарантирует, что:

• является оператором ПДн в отношении ПДн в составе Контента Клиента и самостоятельно определяет цели и правовые основания обработки;
• имеет законные основания для обработки ПДн (включая необходимые согласия субъектов, если они требуются), предоставляет субъектам обязательную информацию;
• соблюдает принципы и условия обработки ПДн и обеспечивает выполнение прав субъектов ПДн как оператор;
• несет ответственность за содержание Контента Клиента, законность коммуникаций и рассылок (если применимо), а также за выбор и условия Каналов/Интеграций;
• обеспечивает управление доступами Пользователей Клиента и принимает меры по защите учетных данных на своей стороне.

6. Обязанности Исполнителя (Обработчика)

6.1. Общие обязанности

• обрабатывать ПДн в составе Контента Клиента только по Инструкциям Клиента и в целях, указанных в разделе 3;
• обеспечить конфиденциальность ПДн и ограничить доступ к ним не уполномоченными лицами;
• принять необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий;
• обеспечить учет операций и доступов (журналирование) в разумном объеме для безопасности и расследования инцидентов;
• оказывать Клиенту разумное содействие по запросам субъектов/уполномоченных органов в пределах функциональности Сервиса и ролей сторон (например, предоставление технической информации, подтверждений удаления, сведений о мерах защиты).

6.2. Конфиденциальность персонала

Исполнитель обеспечивает, чтобы доступ к ПДн имели только лица, которым он необходим для исполнения обязанностей по Поручению, и такие лица были связаны обязательствами о конфиденциальности.

7. Обязанности Клиента (Оператора)

• самостоятельно управлять учетными записями Пользователей Клиента, правами доступа и конфиденциальностью учетных данных;
• обеспечить законность обработки ПДн и наличие оснований/согласий (при необходимости), информирование субъектов и обработку их запросов;
• обеспечить законность использования Каналов/Интеграций (как третьих лиц, выбранных Клиентом) и выполнение обязанностей оператора при подключении таких третьих лиц;
• не загружать в Сервис избыточные данные и не поручать обработку запрещенных/чувствительных данных без оснований и согласования;
• в случае запросов субъектов ПДн или уполномоченных органов — действовать как оператор, при необходимости обращаясь к Исполнителю за содействием в пределах раздела 6.1.

8. Конфиденциальность и меры безопасности

8.1. Конфиденциальность

Исполнитель обеспечивает конфиденциальность ПДн в составе Контента Клиента и не раскрывает их третьим лицам, кроме случаев: (1) привлечения субобработчиков по разделу 10; (2) исполнения требований закона/запросов уполномоченных органов; (3) когда раскрытие инициировано Клиентом (например, через Интеграции).

8.2. Перечень минимальных мер защиты (организационные)

• ограничение круга лиц, допущенных к обработке, и управление доступами по принципу минимальных привилегий;
• обязательства о конфиденциальности для лиц, допущенных к обработке;
• регламенты управления доступом, инцидентами, резервным копированием и восстановлением;
• учет и контроль изменений конфигурации, прав доступа и секретов;
• договорное закрепление обязанностей субобработчиков по защите ПДн и контроль их привлечения.

8.3. Перечень минимальных мер защиты (технические)

• аутентификация и разграничение прав доступа (RBAC), журналирование действий администраторов и критических операций;
• шифрование каналов передачи данных (TLS);
• защита ключей/секретов (ограничение доступа, ротация, хранение в предназначенных средствах);
• резервное копирование и контроль восстановления;
• мониторинг, обнаружение аномалий, защита от злоупотреблений (лимиты/фильтрация/WAF при наличии в используемой инфраструктуре);
• управление обновлениями и уязвимостями в пределах контролируемой инфраструктуры Исполнителя.

Клиент понимает, что безопасность также зависит от его действий: корректности настроек Каналов/Интеграций, управления доступом Пользователей Клиента и мер защиты на стороне Клиента.

9. Инциденты ИБ и форма уведомления

9.1. Уведомление (24 часа)

При выявлении Инцидента, который вероятно затрагивает ПДн в составе Контента Клиента, Исполнитель уведомляет Клиента не позднее 24 часов с момента подтверждения Инцидента.

9.2. Что включает уведомление

• описание Инцидента и предполагаемую дату/время начала (если известно);
• категории и ориентировочный объем затронутых ПДн и субъектов;
• предварительную оценку возможных последствий;
• принятые/планируемые меры по устранению;
• рекомендации Клиенту по дальнейшим действиям (при необходимости);
• контактное лицо для координации реагирования.

9.3. Форма уведомления (шаблон)

10. Субобработчики и третьи лица

10.1. Что такое субобработчик

Субобработчик — это третье лицо, которое Исполнитель привлекает для обеспечения работы Сервиса и которое может получать доступ к ПДн в составе Контента Клиента.

10.2. Условия привлечения субобработчиков

Исполнитель вправе привлекать субобработчиков, если это необходимо для предоставления Сервиса, при условии заключения договоров, обеспечивающих конфиденциальность и безопасность ПДн не ниже уровня настоящего Поручения.

10.3. Перечень текущих субобработчиков

10.4. Уведомление о смене/добавлении субобработчика

Исполнитель уведомляет Клиента о добавлении или замене субобработчика не менее чем за 10 календарных дней до вступления изменения в силу, за исключением экстренных случаев, когда изменение необходимо для обеспечения безопасности/непрерывности Сервиса.

10.5. Каналы и Интеграции Клиента (третьи лица, выбранные Клиентом)

Каналы и Интеграции, которые Клиент подключает самостоятельно (CRM, системы записи, телефония, мессенджеры и т.п.), являются третьими лицами, выбранными Клиентом. Клиент самостоятельно обеспечивает наличие правовых оснований и соответствие их обработки применимому праву. Исполнитель отвечает только за свою часть обработки в пределах Сервиса и Инструкций Клиента.

11. Трансграничная передача

По умолчанию Исполнитель организует обработку и хранение ПДн в составе Контента Клиента на территории Российской Федерации (см. раздел 3.2). Если Клиент подключает Канал/Интеграцию или иную функциональность, которая предусматривает передачу данных за пределы РФ, Клиент как оператор самостоятельно обеспечивает соблюдение требований законодательства РФ к трансграничной передаче и несет соответствующие риски.

12. Срок, возврат и удаление

12.1. Срок поручения

Поручение действует в течение срока действия Оферты и фактического использования Сервиса Клиентом.

12.2. Экспорт/возврат

При прекращении Оферты Клиент вправе запросить экспорт Контента Клиента в доступном формате (если поддерживается функциональностью Сервиса) в течение 180 календарных дней после прекращения.

12.3. Удаление

• Основные данные Контента Клиента удаляются в течение 180 календарных дней после прекращения Оферты, если иной срок не требуется законом или для защиты прав Исполнителя.
• Резервные копии могут храниться до 3-х лет в целях восстановления и безопасности; по истечении срока — уничтожаются/перезаписываются.
• Логи безопасности/журналирование могут храниться до 3-х лет в целях расследования инцидентов и обеспечения безопасности.
• Данные, которые Исполнитель обязан хранить как оператор, не являются Контентом Клиента и обрабатываются по отдельным основаниям.

13. Аудит и подтверждения

По письменному запросу Клиента Исполнитель предоставляет разумную информацию о мерах защиты в объеме, не нарушающем безопасность Сервиса и права третьих лиц. Исполнитель вправе предложить альтернативу аудиту (анкета, письма-подтверждения, отчеты).

14. Ограничение ответственности

Ответственность Исполнителя по настоящему Поручению (включая ответственность за действия субобработчиков) ограничивается суммой, равной стоимости оплаченной Клиентом подписки за 1 календарный месяц, предшествующий событию, ставшему основанием ответственности, если иной предел не установлен императивными нормами закона.

Исполнитель не несет ответственности за упущенную выгоду и косвенные убытки. Клиент несет ответственность как оператор за законность обработки ПДн, содержание Контента Клиента и Инструкции.

15. Особые условия (ИИ-функциональность, логи)

15.1. ИИ-функциональность

• Сервис использует ИИ-функциональность для формирования ответов/классификации сообщений, такая обработка является частью поручения и осуществляется в пределах Инструкций Клиента.
• Если Клиент использует функциональности/настройки, при которых внешним сервисам передаются данные, Клиент обеспечивает соблюдение применимых требований как оператор. Со своей стороны Исполнитель организует работу Сервиса так, чтобы персональные данные из Контента Клиента не передавались во внешние сервисы, если иное не предусмотрено Инструкциями Клиента.

15.2. Логи и мониторинг

В целях безопасности и диагностики Сервис может фиксировать технические журналы (логи) и метаданные (например, время запроса, идентификаторы сессий, коды ошибок), которые могут косвенно содержать ПДн. Такие данные обрабатываются для безопасности, предотвращения злоупотреблений и устранения сбоев и хранятся до 3-х календарных лет.

16. Применимое право и споры

К настоящему Поручению применяется право Российской Федерации. Споры рассматриваются в суде по месту жительства Исполнителя, если иной порядок не установлен императивными нормами.

17. Изменения Поручения

Исполнитель вправе изменять Поручение, публикуя новую редакцию на сайте/в личном кабинете. Новая редакция вступает в силу не ранее чем через 3 календарных дней после публикации, если иное не требуется законом или для защиты безопасности Сервиса.

18. Контакты