Шаблон: поручение на обработку персональных данных
Это шаблон для переговоров с платформой, а не юридическая консультация. Перед подписанием покажите его юристу. По закону (152-ФЗ, ст. 6 ч. 3) поручение можно оформить отдельным соглашением или разделом основного договора. Квадратные скобки заполняются под конкретного партнёра.
Соглашение о поручении обработки персональных данных к договору № [номер] от [дата]
г. [город], [дата]
[Наименование платформы], далее «Оператор», в лице [должность, ФИО], действующего на основании [документ], с одной стороны, и [ФИО самозанятого / наименование], далее «Обработчик», с другой стороны, заключили настоящее соглашение.
1. Предмет
1.1. Оператор поручает Обработчику обработку персональных данных пользователей Оператора (преподавателей и учащихся). Цель обработки — проведение онлайн-уроков на интерактивной доске «Рисмик» (https://rismik.ru), встроенной в сервис Оператора.
1.2. Перечень данных:
- имя (или псевдоним), которое Оператор передаёт в ссылке на урок;
- хэш внутреннего идентификатора пользователя;
- содержимое доски и чата урока, созданное пользователями;
- время участия в уроке.
При видеосвязи изображение и голос участников передаются в реальном времени и без отдельного поручения Оператора не записываются.
1.3. Действия с данными: сбор, запись, хранение, использование, передача участникам того же урока, удаление и уничтожение. Обработка ведётся с использованием средств автоматизации.
2. Обязанности Обработчика
2.1. Обрабатывать данные только для целей, указанных в п. 1.1, и только по поручению Оператора.
2.2. Соблюдать конфиденциальность данных и обеспечивать их безопасность по ст. 19 Федерального закона № 152-ФЗ. В частности:
- передавать данные только по шифрованным каналам (TLS);
- хранить отдельные виды данных в зашифрованном виде;
- давать доступ к данным только по ключам и подписанным ссылкам;
- вести журнал доступа;
- делать резервные копии.
2.3. Хранить и обрабатывать данные на территории Российской Федерации (ст. 18 ч. 5 152-ФЗ).
2.4. Не передавать данные третьим лицам без согласия Оператора, кроме случаев, предусмотренных законом.
2.5. По запросу Оператора:
- в течение 10 рабочих дней предоставить сведения об обработке;
- удалить данные конкретного урока или пользователя.
2.6. Сообщить Оператору о неправомерной передаче, предоставлении или распространении данных (инциденте) в течение 24 часов с момента, когда инцидент обнаружен.
2.7. После прекращения договора уничтожить данные Оператора в течение 30 дней, если Оператор не попросит раньше выгрузить содержимое досок.
3. Обязанности Оператора
3.1. Получить согласия пользователей на обработку их данных или иметь другое законное основание для неё. Сообщить пользователям, что обработку по поручению Оператора ведёт Обработчик.
3.2. Передавать Обработчику только данные, необходимые для целей п. 1.1. Не передавать в ссылках на урок контактные данные, документы и данные специальных категорий.
3.3. Хранить ключ API и не допускать, чтобы ссылки на урок попадали к посторонним.
4. Ответственность
4.1. Перед субъектами персональных данных за действия Обработчика отвечает Оператор (ст. 6 ч. 5 152-ФЗ). Обработчик отвечает перед Оператором.
5. Срок
5.1. Соглашение действует, пока действует основной договор.
Подписи сторон:
Оператор: ____________ / [ФИО] / Обработчик: ____________ / [ФИО] /