Поручение на обработку персональных данных
Настоящее Поручение определяет условия обработки индивидуальным предпринимателем Дудайти Аланом Аслановичем (ОГРНИП 326150000036640, ИНН 151313304003; далее — Правообладатель) по поручению Клиента персональных данных, которые Клиент загружает в сервис InvoiceHub (далее — Сервис) или передает в него из учетной системы iiko, в соответствии с частью 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных). Поручение является неотъемлемой частью Договора, заключенного на условиях публичной оферты (https://invoice-hub.ru/offer/; далее — Оферта) или индивидуального договора, и применяется также к демонстрационному доступу с момента его активации. Термины используются в значениях, определенных Офертой.
1. Роли сторон
1.1. Клиент является оператором персональных данных, содержащихся в загружаемых документах и сведениях (далее — Данные), либо лицом, действующим по поручению операторов — обслуживаемых им организаций (Ресторанов). Правообладатель осуществляет обработку Данных по поручению Клиента, не определяет самостоятельно цели и состав обработки Данных и не обязан получать согласие субъектов на их обработку (часть 4 статьи 6 Закона о персональных данных). Персональные данные Пользователей (учетные и контактные данные, сведения о входах и действиях) Правообладатель обрабатывает как самостоятельный оператор (пункт 8.6 Оферты); в предмет Поручения они не входят.
1.2. Если Клиент действует по поручению Ресторанов или иных операторов, он гарантирует наличие у него права привлечь Правообладателя в качестве последующего лица, осуществляющего обработку, и несет ответственность перед такими операторами.
1.3. Ответственность перед субъектами персональных данных за действия Правообладателя несет Клиент; Правообладатель несет ответственность перед Клиентом (часть 5 статьи 6 Закона о персональных данных).
2. Цели обработки
2.1. Данные обрабатываются исключительно в целях исполнения Договора: загрузка, распознавание, структурирование, проверка, хранение, поиск и экспорт документов; передача сведений в iiko по команде Пользователя; техническая поддержка; обеспечение безопасности и целостности; резервное копирование и восстановление; удаление Данных по истечении сроков или по указанию Клиента.
3. Категории субъектов и перечень персональных данных
3.1. Субъекты: работники и специалисты Клиента и обслуживаемых им организаций, сведения о которых содержатся в документах; представители и индивидуальные предприниматели — поставщики; представители иных контрагентов Клиента.
3.2. Перечень Данных: фамилия, имя, отчество; должность; место работы; рабочие телефон и адрес электронной почты; подпись; реквизиты индивидуального предпринимателя (ИНН, ОГРНИП, банковские реквизиты, адрес) и поставщика; иные обычные персональные данные, содержащиеся в первичных документах и справочниках.
3.3. Специальные категории персональных данных, биометрические персональные данные и копии документов, удостоверяющих личность, не входят в предмет Поручения; их загрузка допускается только после отдельного письменного согласования с Правообладателем при наличии у Клиента законного основания.
4. Перечень действий (операций) с Данными
4.1. Получение (сбор от Клиента), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, автоматизированное распознавание и структурирование, передача в iiko по команде Пользователя Клиента, предоставление ограниченного доступа Пользователям Клиента и привлеченным лицам (раздел 7), обезличивание, блокирование, удаление, уничтожение. Обработка осуществляется с использованием средств автоматизации (информационная система Сервиса) и, в отдельных случаях поддержки, без их использования.
5. Обязанности Клиента
5.1. Клиент обязуется:
- определять цели, состав Данных и правовые основания их обработки, включая основания передачи Данных Правообладателю;
- информировать субъектов и получать их согласия в случаях, когда это требуется законом, а также обеспечивать наличие полномочий на загрузку Данных Ресторанов и поставщиков и на привлечение Правообладателя;
- не загружать Данные, указанные в пункте 3.3, без отдельного согласования;
- рассматривать запросы субъектов по содержанию загруженных документов и давать Правообладателю необходимые указания;
- назначать администраторов, своевременно прекращать доступ Пользователей и соблюдать Условия использования;
- своевременно выгружать Данные до истечения сроков хранения, установленных Договором;
- давать Правообладателю указания в письменной форме (по электронной почте или в интерфейсе Сервиса); указания, противоречащие закону, не исполняются с уведомлением Клиента.
6. Обязанности Правообладателя
6.1. Правообладатель обязуется:
- соблюдать принципы и правила обработки персональных данных, установленные Законом о персональных данных, и обрабатывать Данные только в целях, указанных в разделе 2, в соответствии с документированными указаниями Клиента;
- соблюдать конфиденциальность Данных (статья 7 Закона о персональных данных), не раскрывать их третьим лицам, кроме случаев, предусмотренных Поручением и законом, и допускать к Данным только лиц, принявших обязательство о конфиденциальности;
- выполнять требования части 5 статьи 18 Закона о персональных данных (использование баз данных, находящихся на территории Российской Федерации) и принимать меры, предусмотренные статьей 18.1 Закона о персональных данных;
- обеспечивать безопасность Данных при их обработке и принимать правовые, организационные и технические меры в соответствии со статьей 19 Закона о персональных данных: определение уровня защищенности (постановление Правительства Российской Федерации от 01.11.2012 № 1119) и выполнение мер по приказу ФСТЭК России от 18.02.2013 № 21, включая разграничение доступа по ролям и логическую изоляцию данных клиентов, индивидуальные учетные записи и двухфакторную аутентификацию привилегированных ролей, защищенные соединения, защищенное хранение секретов, регистрацию событий, резервное копирование, регулярное обновление компонентов, антивирусную и форматную проверку загружаемых файлов;
- уведомлять Клиента о выявленном инциденте, повлекшем или способном повлечь неправомерную или случайную передачу (предоставление, распространение, доступ) Данных (часть 3.1 статьи 21 Закона о персональных данных), незамедлительно, но не позднее 24 часов с момента выявления, с указанием известных обстоятельств, предполагаемых причин, затронутых категорий субъектов и Данных, принятых мер и контактного лица, а затем — о результатах внутреннего расследования не позднее 72 часов с момента выявления; содействовать Клиенту в уведомлении Роскомнадзора и субъектов;
- по запросу Клиента в течение срока действия Поручения, в том числе до истечения указанного срока, в течение 10 рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и достижение целей, установленных Законом о персональных данных, без раскрытия данных других клиентов и сведений, составляющих коммерческую тайну Правообладателя;
- содействовать Клиенту в рассмотрении запросов субъектов и в проверках уполномоченных органов в разумном объеме, передавать Клиенту поступившие Правообладателю обращения субъектов в течение 3 рабочих дней;
- не привлекать иных лиц к обработке Данных, кроме предусмотренных разделом 7;
- после прекращения Поручения удалить или вернуть Данные в порядке раздела 9.
7. Привлечение иных лиц к обработке
7.1. Клиент дает общее разрешение на привлечение Правообладателем российских поставщиков услуг размещения серверов и дата-центров, распознавания документов, резервного копирования, мониторинга безопасности, сервисных уведомлений и технической поддержки при условии заключения с ними договоров, содержащих условия части 3 статьи 6 Закона о персональных данных, обязательства конфиденциальности, ограничение целей и требования к защите Данных не ниже установленных настоящим Поручением. На дату настоящей редакции размещение серверов и хранение Данных обеспечивает ООО «ТАЙМВЭБ.КЛАУД» (ОГРН 1227800052215; 420500, Республика Татарстан, м.р-н Верхнеуслонский, г.п. город Иннополис, г. Иннополис, ул. Университетская, д. 7, оф. 605).
7.2. Об изменении привлеченного лица или добавлении новой категории привлеченных лиц Правообладатель уведомляет Клиента не менее чем за 10 календарных дней по электронной почте или в интерфейсе Сервиса. Клиент вправе заявить мотивированное возражение; если возражение не урегулировано, Клиент вправе отказаться от Договора с возвратом платы за неиспользованный остаток расчетного периода.
7.3. Правообладатель отвечает перед Клиентом за действия привлеченных лиц как за свои собственные.
8. Локализация и техническое структурирование
8.1. Оригиналы документов и содержащиеся в них персональные данные обрабатываются и хранятся с использованием баз данных, находящихся на территории Российской Федерации. Трансграничная передача персональных данных не осуществляется. Для технического структурирования могут использоваться предварительно обезличенные фрагменты данных, не позволяющие определить субъекта персональных данных, клиента, поставщика или объект обслуживания.
8.2. Предварительное обезличивание выполняется в российском контуре до направления фрагмента в технический сервис с соблюдением требований и методов, установленных приказом Роскомнадзора от 19.06.2025 № 140. Если автоматическая проверка обезличивания не пройдена, внешняя обработка фрагмента блокируется. Оригинал документа, его изображение, полный текст и ключ соответствия внешнему сервису не передаются.
9. Срок действия и прекращение Поручения
9.1. Поручение действует с момента активации демонстрационного доступа или заключения Договора и в течение всего срока его действия.
9.2. После прекращения доступа (окончания льготного периода по пункту 4.5 Оферты либо прекращения Договора по иным основаниям) Клиент в течение 14 календарных дней вправе выгрузить Данные штатными средствами Сервиса. Рабочие Данные удаляются или необратимо обезличиваются не позднее 30 календарных дней после окончания этого срока; резервные копии уничтожаются по циклу резервирования, но не позднее 60 календарных дней с даты прекращения доступа, если закон не требует более длительного хранения. По письменному указанию Клиента удаление выполняется досрочно.
9.3. Уничтожение Данных подтверждается записями в журнале информационной системы и, по запросу Клиента, актом об уничтожении, оформленным в соответствии с приказом Роскомнадзора от 28.10.2022 № 179.
10. Ответственность и заключительные положения
10.1. Ответственность Правообладателя перед Клиентом за нарушение Поручения ограничивается в порядке раздела 9 Оферты; ограничение не применяется к нарушению обязательств конфиденциальности (раздел 8 Оферты) и к ответственности за умышленное нарушение.
10.2. Поручение изменяется в порядке, предусмотренном пунктом 10.3 Оферты. В части, не урегулированной Поручением, применяются Оферта и Закон о персональных данных.
10.3. Для индивидуального договора Поручение подписывается сторонами как приложение к такому договору либо применяется по ссылке на настоящую редакцию.