Поручение на обработку персональных данных

Приложение № 2 к документу «Публичная оферта».

Термины, написанные с заглавной буквы, используются в значениях, определённых в Оферте и в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»).

1. Стороны и основание

1.1. Настоящее Приложение является поручением на обработку персональных данных в соответствии с частью 3 статьи 6 Закона о персональных данных (далее — «Поручение»).

1.2. Оператором персональных данных является Заказчик (далее в Приложении — «Оператор»). Лицом, осуществляющим обработку персональных данных по поручению Оператора, является Исполнитель (далее в Приложении — «Обработчик»).

1.3. Поручение даётся Оператором и принимается Обработчиком одновременно с Акцептом Оферты и является неотъемлемой частью Договора. Отдельного подписания Поручение не требует.

1.4. Поручение распространяется на персональные данные, содержащиеся в документах, файлах и тексте, которые Оператор загружает в Сервис или передаёт через API и MCP, а также в Результатах (далее — «Данные Оператора»).

1.5. Поручение не распространяется на персональные данные пользователей Сервиса, которые Исполнитель обрабатывает как оператор: данные Учётных записей, платежей, поддержки, рассылок и cookie-файлов. Их обработка регулируется документом «Политика обработки персональных данных».

1.6. Если Заказчик, являющийся физическим лицом, загружает документы, содержащие его собственные персональные данные, Исполнитель обрабатывает эти данные на основании согласия Заказчика («Согласие на обработку персональных данных») с соблюдением требований настоящего Приложения к конфиденциальности, безопасности, срокам хранения и уничтожению.

1.7. Оператор гарантирует, что располагает законными основаниями для обработки Данных Оператора и для поручения их обработки Обработчику, а также что выполнил перед субъектами персональных данных обязанности, установленные Законом о персональных данных.

1.8. Обработчик не обязан получать согласие субъектов персональных данных на обработку Данных Оператора (часть 4 статьи 6 Закона о персональных данных). Ответственность перед субъектом персональных данных за действия Обработчика несёт Оператор; Обработчик несёт ответственность перед Оператором (часть 5 статьи 6 Закона о персональных данных).

2. Перечень персональных данных

2.1. Обработчик обрабатывает любые персональные данные, содержащиеся в документах, которые Оператор загружает в Сервис, в том числе:

• фамилию, имя, отчество;
• дату и место рождения;
• данные документов, удостоверяющих личность;
• адреса регистрации и проживания;
• номера телефонов и адреса электронной почты;
• ИНН, СНИЛС и иные идентификационные номера;
• реквизиты банковских счетов;
• сведения о трудовой деятельности, образовании и квалификации;
• сведения о сделках, обязательствах и имуществе, содержащиеся в договорах, счетах, актах, накладных и иных документах;
• подписи и иные сведения, содержащиеся в документах.

2.2. Категории субъектов персональных данных определяет Оператор. Как правило, это работники, контрагенты, клиенты Оператора и их представители, а также иные лица, сведения о которых содержатся в документах Оператора.

2.3. Поручение не распространяется на специальные категории персональных данных (статья 10 Закона о персональных данных) и биометрические персональные данные (статья 11 Закона о персональных данных). Загрузка документов, содержащих такие данные, запрещена документом «Правила допустимого использования». Если такие данные всё же переданы, ответственность за это несёт Оператор, а Обработчик вправе удалить соответствующие документы и Результаты.

3. Перечень действий с персональными данными и способы обработки

3.1. Обработчик вправе совершать с Данными Оператора следующие действия: сбор (получение от Оператора), запись, систематизацию, хранение, извлечение, использование, передачу (предоставление доступа) субобработчикам, указанным в разделе 7, блокирование, удаление и уничтожение.

3.2. Обработка осуществляется автоматизированным способом с передачей данных по информационно-телекоммуникационным сетям с использованием шифрования.

3.3. Работники Исполнителя не знакомятся с содержимым документов и Результатов, кроме случаев, когда Оператор сам предоставил к ним доступ при обращении в поддержку, а также случаев, предусмотренных законом. Каждый такой доступ фиксируется в журнале.

4. Цели обработки

4.1. Данные Оператора обрабатываются исключительно в целях оказания Оператору услуг по Договору:

• извлечение текста из документов и структурированных данных из него по настройкам Типизаторов Оператора;
• проверка извлечённых данных и формирование цитат из исходного документа;
• предоставление Результатов Оператору через Кабинет, API, MCP и уведомления о событиях (вебхуки);
• настройка Типизаторов с помощью ИИ-ассистента в Кабинете на документах, выбранных Оператором;
• хранение исходных файлов и Результатов в течение сроков, указанных в разделе 9.

4.2. Обработчик не обрабатывает Данные Оператора в иных целях, в том числе в рекламных целях, для профилирования субъектов персональных данных и для обучения моделей машинного обучения.

5. Обязанности обработчика

5.1. Обработчик обязуется:

• обрабатывать Данные Оператора только в объёме и в целях, указанных в Поручении, и в соответствии с настройками, которые Оператор задаёт в Сервисе;
• соблюдать конфиденциальность Данных Оператора: не раскрывать их третьим лицам и не распространять без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (статья 7 Закона о персональных данных);
• соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных;
• принимать меры, необходимые и достаточные для выполнения обязанностей, предусмотренных Законом о персональных данных, в соответствии со статьёй 18.1 Закона о персональных данных;
• обеспечивать безопасность Данных Оператора в соответствии со статьёй 19 Закона о персональных данных;
• обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение Данных Оператора с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных), и не осуществлять их трансграничную передачу;
• содействовать Оператору в исполнении запросов субъектов персональных данных и уполномоченного органа по защите прав субъектов персональных данных: направлять Оператору поступившие Обработчику обращения субъектов не позднее 3 рабочих дней с даты их получения и предоставлять сведения, необходимые для ответа;
• по запросу Оператора в течение срока действия Поручения, в том числе до начала обработки, в течение 10 рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных статьёй 6 Закона о персональных данных;
• уведомлять Оператора об инцидентах в порядке раздела 6;
• уничтожать Данные Оператора в порядке и в сроки, установленные разделами 9 и 10.

5.2. Для обеспечения безопасности Данных Оператора Обработчик применяет, в частности, следующие меры:

• определение угроз безопасности персональных данных при их обработке в Сервисе;
• разграничение доступа к Данным Оператора: доступ к данным Организации предоставляется только её Участникам и по Ключам API этой Организации;
• шифрование данных при передаче по протоколу TLS;
• сетевую изоляцию компонентов обработки документов, которые имеют доступ только к хранилищу файлов, языковым моделям и почтовому серверу;
• исключение содержимого документов и Результатов из журналов работы, трассировок, метрик и аналитических событий Сервиса;
• журналирование действий администраторов Сервиса;
• размещение Сервиса на инфраструктуре, соответствующей требованиям Закона о персональных данных;
• контроль принимаемых мер и уровня защищённости.

5.3. Если Обработчик считает, что указание Оператора нарушает законодательство о персональных данных, он уведомляет об этом Оператора и вправе не исполнять такое указание.

6. Инциденты

6.1. При выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) Данных Оператора, повлёкшей нарушение прав субъектов персональных данных (далее — «Инцидент»), Обработчик незамедлительно, но не позднее 12 часов с момента выявления Инцидента, уведомляет об этом Оператора по электронной почте владельцев Организации и в Кабинете.

6.2. Чтобы Оператор мог в течение 24 часов уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в соответствии с частью 3.1 статьи 21 Закона о персональных данных, Обработчик в первом уведомлении сообщает известные ему сведения:

• описание Инцидента и время его выявления;
• предполагаемые причины Инцидента;
• состав затронутых Данных Оператора и предполагаемый вред, причинённый правам субъектов персональных данных;
• принятые меры по устранению последствий Инцидента;
• контактные данные лица, уполномоченного Обработчиком на взаимодействие по вопросам Инцидента.

6.3. Чтобы Оператор мог в течение 72 часов уведомить уполномоченный орган о результатах внутреннего расследования, Обработчик своевременно предоставляет Оператору результаты своего расследования Инцидента и сведения о лицах, действия которых стали его причиной, если такие лица установлены.

6.4. Обработчик содействует Оператору во взаимодействии с уполномоченным органом по вопросам Инцидента и принимает меры для предотвращения повторения подобных Инцидентов.

7. Субобработчики

7.1. Оператор поручает Обработчику привлекать к обработке Данных Оператора следующих лиц (далее — «субобработчики»):

• ООО «Таймвэб.Клауд» — инфраструктура Сервиса: вычислительные мощности, базы данных, хранилище файлов (S3) и почтовый сервер для отправки уведомлений. Обрабатывает исходные файлы, извлечённый текст и Результаты.
• ООО «Таймвэб.Клауд», сервис Timeweb AI Gateway (шлюз доступа к языковым моделям) — языковые модели для извлечения данных и работы ИИ-ассистента. Используются только модели, размещённые на территории Российской Федерации. Обрабатывает извлечённый текст документов и инструкции Типизаторов.

7.2. Для оформления оплаты и закрывающих документов Исполнитель также передаёт сведения следующим лицам:

• ООО «ДаДата» — автозаполнение и проверка реквизитов компании Заказчика по ИНН;
• АО «ПФ «СКБ Контур» (система «Диадок») — отправка закрывающих документов и договоров через ЭДО;
• АО «ТБанк» — приём платежей, формирование кассовых чеков и счетов.

Эти лица обрабатывают только реквизиты Заказчика и сведения, необходимые для оплаты и оформления документов. Содержимое загружаемых документов и Результаты им не передаются.

7.3. Все субобработчики и лица, указанные в пункте 7.2, находятся на территории Российской Федерации и обрабатывают данные с использованием баз данных, расположенных на территории Российской Федерации.

7.4. Обработчик привлекает субобработчиков на условиях, обеспечивающих конфиденциальность и безопасность Данных Оператора на уровне не ниже предусмотренного Поручением, и отвечает перед Оператором за их действия как за свои собственные.

7.5. Об изменении перечня субобработчиков Обработчик уведомляет Оператора путём публикации новой редакции Приложения и по электронной почте не позднее чем за 10 календарных дней до привлечения нового субобработчика. Если Оператор не согласен с изменением, он вправе отказаться от Договора в порядке, предусмотренном Офертой.

8. Запрет обучения моделей

8.1. Обработчик не использует Данные Оператора, Результаты и настройки Типизаторов для обучения, дообучения или оценки моделей машинного обучения и не передаёт их для этих целей третьим лицам, в том числе субобработчикам.

8.2. Языковые модели используются Обработчиком только для выполнения Прогонов и работы ИИ-ассистента по запросу Оператора.

8.3. Содержимое документов и Результатов не записывается в журналы работы, трассировки, метрики и аналитические события Сервиса. В них сохраняются только технические показатели: размеры файлов, количество страниц, объём использованных ресурсов и стоимость обработки.

9. Сроки хранения

9.1. Исходные файлы хранятся в течение срока, выбранного Оператором в настройках Организации:

• удаление сразу после завершения Прогона;
• 24 часа — по умолчанию;
• 7 дней;
• 30 дней.

9.2. Результаты хранятся в течение срока, выбранного Оператором в настройках Организации:

• 30 дней — по умолчанию;
• 90 дней;
• не хранить: Результат передаётся Оператору по завершении Прогона и не сохраняется в Сервисе.

9.3. Данные работы ИИ-ассистента в Кабинете (диалоги и сообщения, в том числе примеры документов и результаты пробных Прогонов) хранятся на тех же условиях, что и Результаты: в течение срока хранения Результатов, выбранного Оператором, по умолчанию 30 дней.

9.4. Независимо от настроек исходные файлы удаляются из хранилища файлов не позднее 30 дней с даты загрузки.

9.5. Оператор вправе в любой момент удалить отдельные файлы и Результаты в Кабинете или через API. При удалении Организации удаляются все её исходные файлы и Результаты.

9.6. Данные, удалённые из Сервиса, могут оставаться в резервных копиях инфраструктуры до их перезаписи в ходе ротации, но не более 30 календарных дней с даты удаления. Резервные копии используются только для восстановления Сервиса после сбоев; восстановленные из них удалённые данные повторно уничтожаются.

10. Уничтожение и акт об уничтожении

10.1. Обработчик уничтожает Данные Оператора:

• по истечении сроков хранения, указанных в разделе 9;
• при удалении данных Оператором;
• при прекращении Договора или отзыве Поручения — в срок, не превышающий 30 дней с даты прекращения.

10.2. Уничтожение производится автоматизированным способом, исключающим восстановление данных в Сервисе.

10.3. По запросу Оператора, направленному на адрес privacy@typizer.ru, Обработчик в течение 10 рабочих дней предоставляет акт об уничтожении персональных данных и выгрузку из журнала событий. В акте указываются дата уничтожения данных в основном хранилище и дата, не позднее которой они удаляются из резервных копий в результате ротации (пункт 9.6). Документы оформляются в соответствии с Требованиями к подтверждению уничтожения персональных данных, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179.

11. Срок действия поручения

11.1. Поручение действует с момента Акцепта Оферты до прекращения Договора и завершения уничтожения Данных Оператора в соответствии с разделом 10.

11.2. Обязанности Обработчика по соблюдению конфиденциальности Данных Оператора сохраняются и после прекращения Поручения.

11.3. Изменение Поручения производится в порядке изменения Оферты.