Поручение на обработку ПДн (сегмент бизнес-для-бизнеса)

Поручение на обработку ПДн (приложение к оферте). 1. Стороны, роли и пределы поручения 1.1. Клуб является оператором персональных данных субъектов, данные которых загружаются и обрабатываются в системе управления взаимоотношениями с клиентами. 1.2. FightCRM является обработчиком, действующим по поручению Клуба в пределах, определенных настоящим поручением, офертой и применимым законодательством Российской Федерации. 1.3. FightCRM обрабатывает персональные данные только по документированным инструкциям Клуба, за исключением случаев, когда обязанность обработки прямо предусмотрена законодательством. 1.4. FightCRM не определяет самостоятельно цели обработки персональных данных, переданных Клубом, и не использует такие данные в собственных несовместимых целях. 1.5. Обработка персональных данных осуществляется в местах размещения инфраструктуры FightCRM и привлеченных субобработчиков в объеме, необходимом для исполнения договора и при соблюдении применимого законодательства. 2. Предмет поручения и цели обработки 2.1. Клуб поручает FightCRM обработку персональных данных исключительно для предоставления и функционирования сервисов FightCRM, включая хранение, техническую поддержку, безопасность, резервирование и иные действия, необходимые для исполнения договора. 2.2. Любая обработка вне заявленных целей допускается только при наличии отдельного правового основания и/или отдельного письменного соглашения сторон. 3. Категории субъектов, данных и ограничения 3.1. Категории субъектов: клиенты Клуба, сотрудники Клуба, представители Клуба, иные лица, чьи данные правомерно внесены Клубом в сервис. 3.2. Категории данных: идентификационные, контактные, учетные, платежные/расчетные, данные посещений/операций, технические метаданные в объеме, необходимом для оказания услуг. 3.3. Обработка специальных категорий персональных данных допускается только при наличии подтвержденных правовых оснований у Клуба и технической необходимости. 3.4. Клуб обязуется не передавать избыточные данные, не требуемые для заявленных целей обработки. 4. Операции обработки 4.1. Допустимые операции: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. 4.2. Операции выполняются в объеме, необходимом для исполнения договора и функционирования сервиса. 4.3. FightCRM по запросу Клуба предоставляет разумно необходимую информацию о выполнении операций обработки в пределах технических и правовых возможностей. 5. Конфиденциальность и меры безопасности 5.1. FightCRM обеспечивает конфиденциальность персональных данных и применяет правовые, организационные и технические меры защиты, соразмерные рискам обработки. 5.2. Доступ к данным предоставляется только уполномоченным лицам, связанным обязательствами конфиденциальности и действующим в пределах служебных обязанностей. 5.3. FightCRM ведет учет событий безопасности и действий, связанных с обработкой данных, в пределах технической реализации сервиса. 5.4. FightCRM реализует базовые меры контроля доступа, журналирования, резервного копирования и восстановления работоспособности сервисов. 6. Субобработчики 6.1. FightCRM вправе привлекать субобработчиков (инфраструктура, хостинг, платежные и коммуникационные провайдеры) при условии договорных гарантий защиты персональных данных. 6.2. FightCRM обеспечивает, чтобы условия обработки субобработчиками были сопоставимы с требованиями настоящего поручения в части безопасности и конфиденциальности. 6.3. FightCRM несет ответственность за действия привлеченных субобработчиков в пределах, установленных законодательством и договором. 6.4. При существенном изменении перечня субобработчиков FightCRM вправе уведомлять Клуб через предусмотренные договорной документацией каналы. 6.5. Клуб вправе направить мотивированные возражения по существенным изменениям перечня субобработчиков; стороны добросовестно рассматривают такие возражения и согласовывают допустимый порядок дальнейшей обработки данных. 7. Права и обязанности Клуба (Оператора) 7.1. Клуб гарантирует наличие законных оснований для обработки и передачи персональных данных в FightCRM. 7.2. Клуб обеспечивает актуальность, достоверность и правомерность загружаемых данных. 7.3. Клуб несет ответственность за содержание передаваемых данных и законность инструкций по обработке. 7.4. Клуб обеспечивает обработку обращений субъектов персональных данных как оператор и вправе запрашивать у FightCRM содействие в разумных пределах. 8. Сроки обработки, возврат и удаление данных 8.1. Обработка осуществляется в течение срока действия договорных отношений между Клубом и FightCRM, если иной срок не установлен законодательством. 8.2. По отдельным категориям данных могут применяться продленные сроки хранения, необходимые для безопасности, аудита и исполнения обязательных требований закона. 8.3. По прекращении договора FightCRM прекращает обработку данных по поручению Клуба, за исключением случаев, когда хранение требуется законодательством. 8.4. Данные из резервных копий удаляются в сроки, предусмотренные регламентом хранения резервных копий, без повторного ввода удаленных данных в активный контур обработки. 9. Инциденты и запросы субъектов персональных данных 9.1. При выявлении инцидента безопасности FightCRM реализует внутренний процесс реагирования и документирования. 9.2. При поступлении в FightCRM обращений субъектов персональных данных или запросов уполномоченных органов, относящихся к данным Клуба, FightCRM направляет информацию Клубу в объеме и порядке, допустимых законодательством. 9.3. Стороны взаимодействуют для минимизации последствий инцидента и исполнения правовых обязанностей. 9.4. FightCRM оказывает Клубу разумное содействие при обработке обращений субъектов персональных данных, включая предоставление технически доступной информации, необходимой Клубу для подготовки ответа в установленные законом сроки. 10. Аудит, подтверждение исполнения и заключительные положения 10.1. FightCRM по обоснованному запросу Клуба предоставляет информацию, разумно необходимую для подтверждения исполнения требований настоящего поручения, в пределах технических возможностей и с учетом защиты конфиденциальной информации. 10.2. Документарные проверки исполнения поручения проводятся без необоснованного вмешательства в работу сервиса и при соблюдении требований безопасности. 10.3. Вопросы, не урегулированные настоящим поручением, регулируются офертой, Политикой ПДн и законодательством Российской Федерации.