Поручение на обработку персональных данных

1. Стороны и предмет

1.1. Заказчик (оператор) поручает Индивидуальный предприниматель Догаева Виктория Витальевна (обработчик) обработку персональных данных покупателей маркетплейса в объёме и целях, указанных ниже. Приложение вступает в силу одновременно с акцептом оферты.

1.2. Обработчик действует только по поручению и в интересах Заказчика и не вправе использовать данные в собственных целях, включая обучение моделей, маркетинг и продажу.

2. Цели, категории данных и действия

• Цели: ведение диалога с покупателем по его отзыву и заказу от имени Заказчика; учёт статусов обращений на возврат; аналитика причин недовольства; хранение истории обращений.
• Категории субъектов: покупатели маркетплейса, оставившие отзыв или переписывавшиеся с Заказчиком в чате.
• Категории данных: имя, отображаемое маркетплейсом; текст и оценка отзыва; сообщения в чате; идентификаторы товара, отзыва, чата и обращения. Специальные категории и биометрические данные не запрашиваются и не обрабатываются целенаправленно; при их появлении в свободном тексте не используются для иных целей.
• Действия: получение через API маркетплейса, запись, систематизация, хранение, извлечение, использование, передача получателям из раздела 5, удаление, блокирование. Способ — автоматизированная обработка.

3. Обязанности обработчика

• соблюдать конфиденциальность и принципы, установленные ст. 5 и ст. 6 Федерального закона № 152-ФЗ;
• обеспечивать безопасность данных при их обработке в соответствии со ст. 19 закона: шифрование токенов доступа, передача по защищённому каналу, хеширование паролей, разграничение доступа, журнал действий, резервное копирование;
• хранить данные в базах, находящихся на территории Российской Федерации (ч. 5 ст. 18 закона);
• не передавать данные третьим лицам, кроме перечисленных в разделе 5, без письменного согласия Заказчика;
• при получении обращения субъекта данных, касающегося данных, обрабатываемых по поручению, сообщить об этом Заказчику в течение 3 рабочих дней и оказать содействие в подготовке ответа;
• уведомить Заказчика об утечке или ином неправомерном доступе к данным без промедления и не позднее 24 часов с момента, когда стало известно об инциденте, и предоставить сведения для уведомления Роскомнадзора (ч. 3.1 ст. 21 закона);
• по запросу Заказчика подтверждать выполнение требований поручения.

4. Обязанности Заказчика

• иметь правовое основание обработки данных покупателей и, если оно требуется, получить согласие субъектов или обеспечить иное основание (ст. 6 закона); ответственность перед субъектами несёт Заказчик (ч. 5 ст. 6);
• подать в Роскомнадзор уведомление об обработке персональных данных, если оно требуется (ст. 22 закона);
• самостоятельно определять настройки и шаблоны сообщений и не поручать Сервису обработку данных сверх объёма из раздела 2;
• выпускать токен с минимально необходимыми категориями прав.

5. Получатели данных (субобработчики)

Заказчик даёт согласие на привлечение обработчиком следующих лиц. Обработчик обязуется привлекать их на условиях, обеспечивающих защиту данных, и остаётся ответственным перед Заказчиком за их действия.

6. Срок и удаление данных

6.1. Данные обрабатываются в течение срока действия договора. Заказчик может запросить удаление всех данных покупателей, электронным письмом на адрес обработчика.

6.2. После прекращения договора данные покупателей удаляются или обезличиваются в течение 30 календарных дней, а резервные копии — по истечении срока их хранения, но не более 90 календарных дней, если иной срок хранения не требуется законом.

7. Ответственность

7.1. Стороны отвечают в порядке, предусмотренном законодательством РФ и разделом 11 оферты.

7.2. Обработчик не проверяет законность оснований обработки данных, определённых Заказчиком.