Договор-поручение на обработку персональных данных

1. Стороны и заключение

1.1. Оператор — Клиент, подключивший облачную редакцию скрипта согласий к своему сайту в личном кабинете prdomain.ru.

1.2. Обработчик — индивидуальный предприниматель Бутаков Руслан Федорович, ИНН 590308797252, ОГРНИП 312590331200041, адрес: 614013 г. Пермь ул. Революции, 1Ак3-30.

1.3. Договор заключается одновременно с акцептом оферты при подключении облачной редакции скрипта согласий к первому сайту Оператора и действует, пока хотя бы один сайт Оператора подключён к облачной редакции, а также в течение срока, указанного в разделе 8.

1.4. Договор заключён во исполнение ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Для стационарной редакции скрипта он не применяется: журнал ведётся на сервере Оператора, и Обработчик к нему доступа не имеет.

2. Что поручается

2.1. Цель обработки — ведение журнала согласий посетителей сайтов Оператора на использование cookie и сервисов (аналитика, реклама, функциональные сервисы), чтобы Оператор мог подтвердить факт, время и содержание полученного согласия или отказа, а также хранение и выдача этого журнала Оператору.

2.2. Субъекты — посетители сайтов Оператора, на которых установлена облачная редакция скрипта согласий.

2.3. Перечень данных в каждой записи журнала:

2.4. Обработчик не получает и не обрабатывает по поручению иные данные посетителей: имена, контакты, данные форм, содержимое страниц. Скрипт согласий не устанавливает посетителям сайтов Оператора cookie Обработчика.

2.5. Действия с данными: сбор (получение от скрипта на сайте Оператора), запись, систематизация, накопление, хранение, извлечение, использование для выдачи Оператору, предоставление Оператору (просмотр и выгрузка в кабинете), блокирование, удаление, уничтожение.

2.6. Способ обработки — автоматизированный.

3. Обязанности Обработчика

Обработчик обязуется:

3.1. Обрабатывать данные только в цели из п. 2.1 и только в объёме, нужном для неё. Не использовать журнал в собственных целях, в том числе для аналитики, рекламы или объединения с другими данными, кроме обезличенной статистики работы скрипта без привязки к посетителям.

3.2. Соблюдать конфиденциальность данных: не раскрывать и не распространять их без согласия Оператора, если иное не предусмотрено федеральным законом.

3.3. Соблюдать принципы и правила обработки, предусмотренные Законом, и выполнять требования ст. 18.1 Закона.

3.4. Принимать меры по защите данных по ст. 19 Закона, в том числе:

• хранить журнал в базе данных на территории Российской Федерации (ч. 5 ст. 18 Закона), без трансграничной передачи;
• принимать запись в журнал только со страниц домена сайта Оператора и его поддоменов и ограничивать частоту записи;
• передавать данные только по зашифрованным каналам (HTTPS);
• давать доступ к журналу только Оператору (в его кабинете) и работникам Обработчика, которым он нужен для исполнения договора;
• не изменять записи журнала после их создания;
• выполнять требования к защите данных при их обработке в информационных системах, установленные постановлением Правительства РФ от 01.11.2012 № 1119.

3.5. По запросу Оператора в течение срока действия договора предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных ч. 3 ст. 6 Закона, — в течение 10 рабочих дней с даты запроса.

3.6. Уведомлять Оператора об инцидентах. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) данных из журнала, повлёкшей нарушение прав субъектов, — уведомить Оператора по электронной почте, указанной в кабинете, незамедлительно, но не позднее 12 часов с момента выявления, указав известные сведения об инциденте. Это нужно, чтобы Оператор успел уведомить Роскомнадзор в течение 24 часов (ч. 3.1 ст. 21 Закона). Результаты внутреннего расследования — не позднее 48 часов с момента выявления.

3.7. Помогать Оператору отвечать субъектам. Обращение посетителя сайта Оператора, поступившее Обработчику, пересылать Оператору не позднее 3 рабочих дней и не отвечать на него по существу без указания Оператора. По указанию Оператора в течение 3 рабочих дней находить записи по идентификатору согласия, блокировать или уничтожать их.

3.8. Не поручать обработку журнала другим лицам, кроме указанных в разделе 5, без предварительного согласия Оператора.

4. Обязанности Оператора

Оператор обязуется:

4.1. Иметь законное основание для обработки данных посетителей своего сайта и для поручения её Обработчику (ч. 3 ст. 6 Закона).

4.2. Указать в своей политике обработки персональных данных, что ведение журнала согласий поручено Обработчику. Пример формулировки — в приложении ниже.

4.3. Самостоятельно определять тексты баннера, состав категорий и сервисов и отвечать за них.

4.4. Не передавать через скрипт согласий данные, не указанные в п. 2.3, и не изменять код облачной редакции скрипта.

4.5. Указать в кабинете актуальный адрес электронной почты для уведомлений по этому договору.

5. Привлекаемые лица

5.1. Оператор соглашается, что Обработчик привлекает для хранения журнала:

5.2. О замене или добавлении привлекаемого лица Обработчик уведомляет Оператора по электронной почте не позднее чем за 10 дней. Оператор вправе в этот срок отказаться от договора с возвратом оплаты за неиспользованный период.

5.3. Обработчик отвечает перед Оператором за действия привлечённых им лиц как за свои.

6. Хранение и выдача журнала

6.1. Оператор может просматривать журнал и выгружать его в формате CSV в кабинете в любое время в течение действия договора.

6.2. Записи хранятся 3 года с даты создания — срок, в течение которого Оператору может понадобиться подтвердить согласие, — после чего уничтожаются автоматически. Оператор может выгрузить их заранее, если ему нужен более долгий срок.

7. Ответственность

7.1. Перед посетителями сайта за действия Обработчика отвечает Оператор; Обработчик отвечает перед Оператором (ч. 5 ст. 6 Закона).

7.2. Обработчик возмещает Оператору реальный ущерб, возникший из-за нарушения Обработчиком этого договора, в пределах, установленных п. 10.3 оферты. Ограничение не применяется к ущербу от умышленного нарушения.

8. Прекращение

8.1. Договор прекращается, когда последний сайт Оператора отключён от облачной редакции скрипта согласий или договор-оферта расторгнут.

8.2. После прекращения Оператор в течение 30 дней может выгрузить журнал в кабинете. По истечении этого срока Обработчик уничтожает журнал в течение 10 рабочих дней и по запросу Оператора выдаёт подтверждение уничтожения.

8.3. Обязанность соблюдать конфиденциальность действует и после прекращения договора — до уничтожения данных.

9. Приложение. Формулировка для политики Оператора

Оператор может включить в свою политику обработки персональных данных такой пункт:

Сайт использует сервис управления согласиями на cookie. Ведение журнала согласий посетителей — идентификатор согласия, выбор посетителя, дата и время, адрес страницы, сведения о браузере и IP-адрес в усечённом виде — поручено индивидуальному предпринимателю Бутаков Руслан Федорович (ИНН 590308797252, адрес: 614013 г. Пермь ул. Революции, 1Ак3-30, сервис prdomain.ru) на основании договора-поручения. Журнал хранится на территории Российской Федерации в течение 3 лет и используется только для подтверждения полученных согласий.

Та же формулировка подставляется конструктором политики на prdomain.ru, если в анкете отмечен облачный скрипт согласий.