# Поручение на обработку персональных данных

Редакция 1.0.0 от 23.10.2026.

Приложение № 2 к документу «[Публичная оферта](https://typizer.ru/legal/offer/)».

Термины, написанные с заглавной буквы, используются в значениях, определённых в Оферте и в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»).

## 1. Стороны и основание

1.1. Настоящее Приложение является поручением на обработку персональных данных в соответствии с частью 3 статьи 6 Закона о персональных данных (далее — «Поручение»).

1.2. Оператором персональных данных является Заказчик (далее в Приложении — «Оператор»). Лицом, осуществляющим обработку персональных данных по поручению Оператора, является Исполнитель (далее в Приложении — «Обработчик»).

1.3. Поручение даётся Оператором и принимается Обработчиком одновременно с Акцептом Оферты и является неотъемлемой частью Договора. Отдельного подписания Поручение не требует.

1.4. Поручение распространяется на персональные данные, содержащиеся в документах, файлах и тексте, которые Оператор загружает в Сервис или передаёт через API и MCP, а также в Результатах (далее — «Данные Оператора»).

1.5. Поручение не распространяется на персональные данные пользователей Сервиса, которые Исполнитель обрабатывает как оператор: данные Учётных записей, платежей, поддержки, рассылок и cookie-файлов. Их обработка регулируется документом «[Политика обработки персональных данных](https://typizer.ru/legal/privacy/)».

1.6. Если Заказчик, являющийся физическим лицом, загружает документы, содержащие его собственные персональные данные, Исполнитель обрабатывает эти данные на основании согласия Заказчика («[Согласие на обработку персональных данных](https://typizer.ru/legal/pd-consent/)») с соблюдением требований настоящего Приложения к конфиденциальности, безопасности, срокам хранения и уничтожению.

1.7. Оператор гарантирует, что располагает законными основаниями для обработки Данных Оператора и для поручения их обработки Обработчику, а также что выполнил перед субъектами персональных данных обязанности, установленные Законом о персональных данных.

1.8. Обработчик не обязан получать согласие субъектов персональных данных на обработку Данных Оператора (часть 4 статьи 6 Закона о персональных данных). Ответственность перед субъектом персональных данных за действия Обработчика несёт Оператор; Обработчик несёт ответственность перед Оператором (часть 5 статьи 6 Закона о персональных данных).

## 2. Перечень персональных данных

2.1. Обработчик обрабатывает любые персональные данные, содержащиеся в документах, которые Оператор загружает в Сервис, в том числе:

- фамилию, имя, отчество;
- дату и место рождения;
- данные документов, удостоверяющих личность;
- адреса регистрации и проживания;
- номера телефонов и адреса электронной почты;
- ИНН, СНИЛС и иные идентификационные номера;
- реквизиты банковских счетов;
- сведения о трудовой деятельности, образовании и квалификации;
- сведения о сделках, обязательствах и имуществе, содержащиеся в договорах, счетах, актах, накладных и иных документах;
- подписи и иные сведения, содержащиеся в документах.

2.2. Категории субъектов персональных данных определяет Оператор. Как правило, это работники, контрагенты, клиенты Оператора и их представители, а также иные лица, сведения о которых содержатся в документах Оператора.

2.3. Поручение не распространяется на специальные категории персональных данных (статья 10 Закона о персональных данных) и биометрические персональные данные (статья 11 Закона о персональных данных). Загрузка документов, содержащих такие данные, запрещена документом «[Правила допустимого использования](https://typizer.ru/legal/aup/)». Если такие данные всё же переданы, ответственность за это несёт Оператор, а Обработчик вправе удалить соответствующие документы и Результаты.

## 3. Перечень действий с персональными данными и способы обработки

3.1. Обработчик вправе совершать с Данными Оператора следующие действия: сбор (получение от Оператора), запись, систематизацию, хранение, извлечение, использование, передачу (предоставление доступа) субобработчикам, указанным в разделе 7, блокирование, удаление и уничтожение.

3.2. Обработка осуществляется автоматизированным способом с передачей данных по информационно-телекоммуникационным сетям с использованием шифрования.

3.3. Работники Исполнителя не знакомятся с содержимым документов и Результатов, кроме случаев, когда Оператор сам предоставил к ним доступ при обращении в поддержку, а также случаев, предусмотренных законом. Каждый такой доступ фиксируется в журнале.

## 4. Цели обработки

4.1. Данные Оператора обрабатываются исключительно в целях оказания Оператору услуг по Договору:

- извлечение текста из документов и структурированных данных из него по настройкам Типизаторов Оператора;
- проверка извлечённых данных и формирование цитат из исходного документа;
- предоставление Результатов Оператору через Кабинет, API, MCP и уведомления о событиях (вебхуки);
- настройка Типизаторов с помощью ИИ-ассистента в Кабинете на документах, выбранных Оператором;
- хранение исходных файлов и Результатов в течение сроков, указанных в разделе 9.

4.2. Обработчик не обрабатывает Данные Оператора в иных целях, в том числе в рекламных целях, для профилирования субъектов персональных данных и для обучения моделей машинного обучения.

## 5. Обязанности обработчика

5.1. Обработчик обязуется:

- обрабатывать Данные Оператора только в объёме и в целях, указанных в Поручении, и в соответствии с настройками, которые Оператор задаёт в Сервисе;
- соблюдать конфиденциальность Данных Оператора: не раскрывать их третьим лицам и не распространять без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом (статья 7 Закона о персональных данных);
- соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных;
- принимать меры, необходимые и достаточные для выполнения обязанностей, предусмотренных Законом о персональных данных, в соответствии со статьёй 18.1 Закона о персональных данных;
- обеспечивать безопасность Данных Оператора в соответствии со статьёй 19 Закона о персональных данных;
- обеспечивать запись, систематизацию, накопление, хранение, уточнение и извлечение Данных Оператора с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных), и не осуществлять их трансграничную передачу;
- содействовать Оператору в исполнении запросов субъектов персональных данных и уполномоченного органа по защите прав субъектов персональных данных: направлять Оператору поступившие Обработчику обращения субъектов не позднее 3 рабочих дней с даты их получения и предоставлять сведения, необходимые для ответа;
- по запросу Оператора в течение срока действия Поручения, в том числе до начала обработки, в течение 10 рабочих дней предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных статьёй 6 Закона о персональных данных;
- уведомлять Оператора об инцидентах в порядке раздела 6;
- уничтожать Данные Оператора в порядке и в сроки, установленные разделами 9 и 10.

5.2. Для обеспечения безопасности Данных Оператора Обработчик применяет, в частности, следующие меры:

- определение угроз безопасности персональных данных при их обработке в Сервисе;
- разграничение доступа к Данным Оператора: доступ к данным Организации предоставляется только её Участникам и по Ключам API этой Организации;
- шифрование данных при передаче по протоколу TLS;
- сетевую изоляцию компонентов обработки документов, которые имеют доступ только к хранилищу файлов, языковым моделям и почтовому серверу;
- исключение содержимого документов и Результатов из журналов работы, трассировок, метрик и аналитических событий Сервиса;
- журналирование действий администраторов Сервиса;
- размещение Сервиса на инфраструктуре, соответствующей требованиям Закона о персональных данных;
- контроль принимаемых мер и уровня защищённости.

5.3. Если Обработчик считает, что указание Оператора нарушает законодательство о персональных данных, он уведомляет об этом Оператора и вправе не исполнять такое указание.

## 6. Инциденты

6.1. При выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) Данных Оператора, повлёкшей нарушение прав субъектов персональных данных (далее — «Инцидент»), Обработчик незамедлительно, но не позднее 12 часов с момента выявления Инцидента, уведомляет об этом Оператора по электронной почте владельцев Организации и в Кабинете.

6.2. Чтобы Оператор мог в течение 24 часов уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в соответствии с частью 3.1 статьи 21 Закона о персональных данных, Обработчик в первом уведомлении сообщает известные ему сведения:

- описание Инцидента и время его выявления;
- предполагаемые причины Инцидента;
- состав затронутых Данных Оператора и предполагаемый вред, причинённый правам субъектов персональных данных;
- принятые меры по устранению последствий Инцидента;
- контактные данные лица, уполномоченного Обработчиком на взаимодействие по вопросам Инцидента.

6.3. Чтобы Оператор мог в течение 72 часов уведомить уполномоченный орган о результатах внутреннего расследования, Обработчик своевременно предоставляет Оператору результаты своего расследования Инцидента и сведения о лицах, действия которых стали его причиной, если такие лица установлены.

6.4. Обработчик содействует Оператору во взаимодействии с уполномоченным органом по вопросам Инцидента и принимает меры для предотвращения повторения подобных Инцидентов.

## 7. Субобработчики

7.1. Оператор поручает Обработчику привлекать к обработке Данных Оператора следующих лиц (далее — «субобработчики»):

- **ООО «Таймвэб.Клауд»** — инфраструктура Сервиса: вычислительные мощности, базы данных, хранилище файлов (S3) и почтовый сервер для отправки уведомлений. Обрабатывает исходные файлы, извлечённый текст и Результаты.
- **ООО «Таймвэб.Клауд», сервис Timeweb AI Gateway (шлюз доступа к языковым моделям)** — языковые модели для извлечения данных и работы ИИ-ассистента. Используются только модели, размещённые на территории Российской Федерации. Обрабатывает извлечённый текст документов и инструкции Типизаторов.

7.2. Для оформления оплаты и закрывающих документов Исполнитель также передаёт сведения следующим лицам:

- **ООО «ДаДата»** — автозаполнение и проверка реквизитов компании Заказчика по ИНН;
- **АО «ПФ «СКБ Контур»** (система «Диадок») — отправка закрывающих документов и договоров через ЭДО;
- **АО «ТБанк»** — приём платежей, формирование кассовых чеков и счетов.

Эти лица обрабатывают только реквизиты Заказчика и сведения, необходимые для оплаты и оформления документов. Содержимое загружаемых документов и Результаты им не передаются.

7.3. Все субобработчики и лица, указанные в пункте 7.2, находятся на территории Российской Федерации и обрабатывают данные с использованием баз данных, расположенных на территории Российской Федерации.

7.4. Обработчик привлекает субобработчиков на условиях, обеспечивающих конфиденциальность и безопасность Данных Оператора на уровне не ниже предусмотренного Поручением, и отвечает перед Оператором за их действия как за свои собственные.

7.5. Об изменении перечня субобработчиков Обработчик уведомляет Оператора путём публикации новой редакции Приложения и по электронной почте не позднее чем за 10 календарных дней до привлечения нового субобработчика. Если Оператор не согласен с изменением, он вправе отказаться от Договора в порядке, предусмотренном Офертой.

## 8. Запрет обучения моделей

8.1. Обработчик не использует Данные Оператора, Результаты и настройки Типизаторов для обучения, дообучения или оценки моделей машинного обучения и не передаёт их для этих целей третьим лицам, в том числе субобработчикам.

8.2. Языковые модели используются Обработчиком только для выполнения Прогонов и работы ИИ-ассистента по запросу Оператора.

8.3. Содержимое документов и Результатов не записывается в журналы работы, трассировки, метрики и аналитические события Сервиса. В них сохраняются только технические показатели: размеры файлов, количество страниц, объём использованных ресурсов и стоимость обработки.

## 9. Сроки хранения

9.1. Исходные файлы хранятся в течение срока, выбранного Оператором в настройках Организации:

- удаление сразу после завершения Прогона;
- 24 часа — по умолчанию;
- 7 дней;
- 30 дней.

9.2. Результаты хранятся в течение срока, выбранного Оператором в настройках Организации:

- 30 дней — по умолчанию;
- 90 дней;
- не хранить: Результат передаётся Оператору по завершении Прогона и не сохраняется в Сервисе.

9.3. Данные работы ИИ-ассистента в Кабинете (диалоги и сообщения, в том числе примеры документов и результаты пробных Прогонов) хранятся на тех же условиях, что и Результаты: в течение срока хранения Результатов, выбранного Оператором, по умолчанию 30 дней.

9.4. Независимо от настроек исходные файлы удаляются из хранилища файлов не позднее 30 дней с даты загрузки.

9.5. Оператор вправе в любой момент удалить отдельные файлы и Результаты в Кабинете или через API. При удалении Организации удаляются все её исходные файлы и Результаты.

9.6. Данные, удалённые из Сервиса, могут оставаться в резервных копиях инфраструктуры до их перезаписи в ходе ротации, но не более 30 календарных дней с даты удаления. Резервные копии используются только для восстановления Сервиса после сбоев; восстановленные из них удалённые данные повторно уничтожаются.

## 10. Уничтожение и акт об уничтожении

10.1. Обработчик уничтожает Данные Оператора:

- по истечении сроков хранения, указанных в разделе 9;
- при удалении данных Оператором;
- при прекращении Договора или отзыве Поручения — в срок, не превышающий 30 дней с даты прекращения.

10.2. Уничтожение производится автоматизированным способом, исключающим восстановление данных в Сервисе.

10.3. По запросу Оператора, направленному на адрес privacy@typizer.ru, Обработчик в течение 10 рабочих дней предоставляет акт об уничтожении персональных данных и выгрузку из журнала событий. В акте указываются дата уничтожения данных в основном хранилище и дата, не позднее которой они удаляются из резервных копий в результате ротации (пункт 9.6). Документы оформляются в соответствии с Требованиями к подтверждению уничтожения персональных данных, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179.

## 11. Срок действия поручения

11.1. Поручение действует с момента Акцепта Оферты до прекращения Договора и завершения уничтожения Данных Оператора в соответствии с разделом 10.

11.2. Обязанности Обработчика по соблюдению конфиденциальности Данных Оператора сохраняются и после прекращения Поручения.

11.3. Изменение Поручения производится в порядке изменения Оферты.