Поручение на обработку персональных данных

Оператор — юридическое лицо или индивидуальный предприниматель, заключивший договор об использовании сервиса «Смена» и определяющий цели обработки персональных данных своих работников и гостей.

Обработчик — ИП Пешехонов Никита Владимирович, ИНН 575309038600, ОГРНИП 317574900028902, владелец Сервиса.

Оператор поручает Обработчику обработку персональных данных на условиях настоящего Поручения, а Обработчик принимает поручение.

Ответственность перед субъектами персональных данных несёт Оператор. Обработчик несёт ответственность перед Оператором (ч. 5 ст. 6 152-ФЗ). Обработчик не обязан получать согласие субъектов — это обязанность Оператора.

Обработка ведётся исключительно для предоставления Оператору функциональности Сервиса:

• учёт рабочих смен и выполнения чек-листов;
• обучение работников и проверка знаний;
• мотивация работников: баллы, рейтинги, поощрения;
• сбор и обработка отзывов гостей заведений Оператора;
• формирование отчётности для Оператора;
• направление работникам уведомлений о рабочих событиях.

Работники Оператора: фамилия и имя, дата рождения, должность, дата приёма на работу, номер телефона, адрес электронной почты, фотография или изображение профиля, сведения о себе, заполняемые работником добровольно, сведения о рабочих сменах, ответы в чек-листах и приложенные к ним фотографии, результаты обучения, начисленные баллы и оценки, ответы на вопросы о самочувствии на смене, токен push-уведомлений, IP-адрес и сведения об устройстве.

Гости заведений Оператора: оценка и текст отзыва, а также имя и номер телефона, если гость указал их добровольно.

Специальные категории персональных данных и биометрические персональные данные не обрабатываются. Фотографии используются как рабочие материалы и подтверждения выполнения задач, а не для установления личности.

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Обработка ведётся с использованием средств автоматизации.

Решения, порождающие юридические последствия в отношении субъектов, исключительно на основании автоматизированной обработки, не принимаются.

Обработчик обязуется:

• обрабатывать данные только в целях раздела 2 и в пределах перечня действий раздела 4;
• соблюдать конфиденциальность: не раскрывать данные третьим лицам и не распространять их без согласия Оператора, если иное не предусмотрено законом;
• обеспечивать безопасность данных по ст. 19 152-ФЗ: разграничение доступа по ролям и изоляция данных разных Операторов на уровне базы данных, шифрование соединений, ограничение доступа к серверам, журналирование административных действий, резервное копирование, обнаружение несанкционированного доступа и реагирование на него;
• уведомлять Оператора о фактах неправомерной или случайной передачи персональных данных, повлёкшей нарушение их конфиденциальности, — в течение 24 часов с момента обнаружения, с описанием предполагаемых причин и принятых мер;
• содействовать Оператору в исполнении его обязанностей перед субъектами: предоставлять сведения об обрабатываемых данных, обеспечивать их уточнение, блокирование и удаление средствами Сервиса или по обращению Оператора;
• не привлекать иных лиц к обработке, кроме указанных в разделе 6, без предварительного уведомления Оператора;
• хранить базы данных с персональными данными граждан Российской Федерации на территории Российской Федерации, за исключением случая из раздела 7.

Для исполнения поручения Обработчик привлекает:

• FirstVDS — размещение серверов и базы данных (Российская Федерация);
• Яндекс Облако — хранение файлов, отправка электронной почты, автоматический разбор текстов и изображений (Российская Федерация);
• VK, мессенджер MAX — доставка уведомлений (Российская Федерация);
• Telegram Messenger — доставка уведомлений (передача за пределы Российской Федерации);
• Expo — доставка push-уведомлений на мобильные устройства (США).

При доставке push-уведомлений на мобильные устройства работников сервису Expo передаются токен устройства и текст уведомления; серверы Expo расположены в США. При доставке уведомлений в мессенджер Telegram компании Telegram FZ-LLC, зарегистрированной в Объединённых Арабских Эмиратах, передаются идентификатор чата и текст уведомления; этот канал работает только для тех, кто подключил его сам. Иные персональные данные за пределы Российской Федерации не передаются.

Оператор вправе отказаться от push-уведомлений в настройках Сервиса — в этом случае трансграничная передача в отношении его данных не осуществляется.

Обработка ведётся в течение срока действия договора об использовании Сервиса. В течение 30 дней с момента прекращения договора Обработчик прекращает обработку и уничтожает персональные данные, кроме тех, хранение которых требуется законодательством. По письменному запросу Оператора данные до уничтожения выгружаются в машиночитаемом виде.

Отдельные сроки внутри действующего договора: фотографии в чек-листах — 90 дней с момента загрузки, если Оператор не установил иной срок; изображения в ленте новостей — 60 дней; запрос работника на удаление профиля исполняется в течение 30 дней.

Обработчик отвечает перед Оператором за нарушение условий настоящего Поручения.

Оператор гарантирует, что получил от субъектов персональных данных все необходимые согласия либо имеет иное законное основание обработки, и уведомил их о привлечении Обработчика. Обработчик не проверяет наличие таких оснований.

Настоящее Поручение является приложением к оферте и принимается её акцептом при регистрации в Сервисе. Дата и время принятия фиксируются в Сервисе.

Поручение изменяется в порядке, предусмотренном для оферты. Об изменении перечня привлекаемых лиц Обработчик уведомляет Оператора не менее чем за 15 дней.