Поручение на обработку персональных данных

1. Общие положения

1.1. Оператором персональных данных Пользователей (сотрудников, учеников), размещённых на Платформе, является Заказчик. Заказчик самостоятельно определяет состав, цели и правовые основания обработки таких персональных данных и несёт ответственность за их законность, включая получение необходимых согласий субъектов.

1.2. Обработчик обрабатывает персональные данные исключительно по поручению и в интересах Оператора, в объёме и для целей, предусмотренных настоящим Поручением и Офертой, и не определяет цели обработки самостоятельно.

1.3. В отношении персональных данных администраторов Заказчика и иных лиц, регистрирующихся на Платформе по собственной инициативе, а также данных, обрабатываемых в целях исполнения Оферты (биллинг, поддержка), Обработчик выступает самостоятельным оператором; такая обработка регулируется Политикой конфиденциальности.

2. Предмет поручения

2.1. Оператор поручает, а Обработчик обязуется осуществлять обработку персональных данных Пользователей Оператора в объёме и на условиях настоящего Поручения с целью предоставления Оператору функциональности Платформы в соответствии с выбранным тарифным планом.

2.2. Обработка осуществляется с использованием средств автоматизации.

3. Категории субъектов и персональных данных

3.1. Категории субъектов: работники (сотрудники) Оператора и иные лица, приглашённые Оператором на Платформу в качестве Пользователей.

3.2. Категории обрабатываемых персональных данных, как правило, включают: фамилию, имя, отчество; адрес электронной почты; должность и подразделение; идентификаторы учётной записи; данные о прохождении обучения (назначенные курсы, прогресс, результаты тестов, выданные сертификаты, начисленные баллы); сведения о входах и активности на Платформе. Конкретный состав определяется данными, которые Оператор вносит на Платформу.

3.3. Обработчик не запрашивает и не предполагает обработку специальных категорий персональных данных и биометрических персональных данных. Оператор обязуется не размещать такие данные на Платформе без отдельного письменного согласования с Обработчиком.

4. Перечень действий и способы обработки

4.1. Обработчик вправе совершать с персональными данными следующие действия, необходимые для оказания Услуг: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) в пределах, предусмотренных Офертой, блокирование, удаление, уничтожение.

4.2. Обработчик не осуществляет распространение персональных данных и не использует их в собственных целях, в том числе для маркетинга, не связанного с поручением Оператора.

5. Цели обработки

5.1. Обработка осуществляется в целях: предоставления Пользователям доступа к учебным материалам; организации и учёта обучения; формирования аналитики и отчётности для Оператора; выдачи сертификатов; технической поддержки; обеспечения работоспособности и безопасности Платформы.

6. Срок обработки

6.1. Обработка персональных данных осуществляется в течение срока действия Оферты и использования Платформы Оператором, а также в течение срока хранения данных, предусмотренного п. 9.4 Оферты.

6.2. По прекращении обработки Обработчик действует в порядке, предусмотренном разделом 13 настоящего Поручения.

7. Требования к защите персональных данных

7.1. Обработчик обязуется обеспечивать конфиденциальность и безопасность обрабатываемых персональных данных и принимать правовые, организационные и технические меры, предусмотренные ст. 18.1 и ст. 19 Закона, в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• ограничение доступа к персональным данным — доступ предоставляется только уполномоченным работникам Обработчика в объёме, необходимом для выполнения их функций;
• шифрование данных при передаче по сети Интернет (TLS) и контроль доступа к инфраструктуре;
• резервное копирование данных и контроль целостности;
• ведение журналов событий и мониторинг для выявления несанкционированного доступа;
• применение средств защиты информации и регулярное обновление программного обеспечения;
• учёт машинных носителей и восстановление данных, изменённых или уничтоженных вследствие несанкционированного доступа.

7.2. Обработчик обеспечивает, чтобы лица, допущенные к обработке персональных данных, были обязаны соблюдать их конфиденциальность.

8. Конфиденциальность

8.1. Обработчик обязуется не раскрывать и не распространять персональные данные третьим лицам без согласия Оператора, за исключением случаев, предусмотренных настоящим Поручением, Офертой и законодательством Российской Федерации.

9. Привлечение третьих лиц

9.1. Оператор даёт Обработчику согласие на привлечение для обработки персональных данных третьих лиц (субобработчиков) на условиях, обеспечивающих соблюдение требований Закона, в том числе: провайдера серверной инфраструктуры (хостинга) на территории Российской Федерации; провайдеров сервисов рассылки уведомлений.

9.2. Функции генерации учебного контента с использованием искусственного интеллекта могут обрабатывать содержимое запросов Пользователя на стороне сторонних провайдеров. Оператор уведомлён, что в такие запросы не следует включать персональные данные субъектов; ответственность за содержание запросов несёт Оператор.

9.3. При привлечении субобработчиков Обработчик возлагает на них обязательства по защите персональных данных не ниже предусмотренных настоящим Поручением и остаётся ответственным перед Оператором за их действия.

10. Трансграничная передача

10.1. Хранение персональных данных граждан Российской Федерации осуществляется в базах данных, расположенных на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Закона.

10.2. Трансграничная передача персональных данных Обработчиком не осуществляется, за исключением случаев, прямо санкционированных Оператором или предусмотренных законодательством. Оператор уведомлён об особенностях работы функций искусственного интеллекта (п. 9.2).

11. Реагирование на инциденты

11.1. При выявлении фактов неправомерного или случайного доступа к персональным данным, повлёкшего их уничтожение, изменение, блокирование, копирование, предоставление, распространение, Обработчик уведомляет Оператора без неоправданной задержки, но не позднее 24 (двадцати четырёх) часов с момента обнаружения инцидента, и предоставляет имеющуюся информацию о его характере и последствиях.

11.2. Стороны содействуют друг другу в исполнении обязанностей по уведомлению уполномоченного органа по защите прав субъектов персональных данных в сроки, установленные Законом.

12. Содействие Оператору

12.1. Обработчик содействует Оператору в реализации прав субъектов персональных данных (доступ, уточнение, удаление, отзыв согласия), предоставляя Оператору соответствующую функциональность Платформы либо обрабатывая обоснованные запросы Оператора в разумный срок.

12.2. По письменному запросу Оператора Обработчик предоставляет информацию, необходимую для подтверждения соблюдения требований настоящего Поручения.

13. Действия при прекращении обработки

13.1. По прекращении оказания Услуг и по истечении срока хранения, предусмотренного п. 9.4 Оферты, либо по письменному требованию Оператора Обработчик прекращает обработку и удаляет (уничтожает) персональные данные, обрабатываемые по поручению, а также имеющиеся их копии, за исключением данных, хранение которых требуется законодательством Российской Федерации.

13.2. До удаления Оператор вправе запросить выгрузку данных в пределах функциональности Платформы.

14. Ответственность

14.1. Каждая Сторона несёт ответственность за неисполнение своих обязанностей, предусмотренных настоящим Поручением и Законом. Оператор отвечает за законность определённых им целей и оснований обработки и за получение необходимых согласий субъектов; Обработчик — за соблюдение установленных Оператором условий обработки и требований к защите данных.

14.2. В части, не урегулированной настоящим Поручением, применяются положения Оферты, в том числе об ограничении ответственности.

15. Реквизиты Обработчика