Этот документ - условия обработки персональных данных по поручению. Он дополняет Договор-оферту и Пользовательское соглашение и применяется к данным, которые Заказчик вносит в сервис «Айвико» о своих клиентах, сотрудниках и контрагентах.
«Айвико» (далее - «Сервис») - сервис для управления бизнесом в сфере услуг и продаж (crm.aivico.ru). Исполнитель - Индивидуальный предприниматель Стыврин Денис Васильевич (ОГРНИП 315246800032884, ИНН 246005004145).
1. Роли сторон
1.1. По данным, которые Заказчик вносит в Сервис о третьих лицах, оператором выступает Заказчик, а обработчиком по поручению - Исполнитель (ст. 6 ч. 3 Федерального закона от 27.07.2006 № 152-ФЗ).
1.2. Поручение действует, пока Заказчик пользуется Сервисом. Принятие оферты означает и принятие этого поручения.
2. Что поручается обрабатывать
2.1. Цель. Обеспечение работы Сервиса в интересах Заказчика: ведение заказов и клиентской базы, расчёты, кадровый и зарплатный учёт, коммуникации с клиентами.
2.2. Субъекты. Клиенты Заказчика (физические лица), его сотрудники, контрагенты и их представители.
2.3. Категории данных. ФИО, контактные данные (телефон, email, адрес), паспортные данные (когда Заказчик их вносит - хранятся в зашифрованном виде), банковские реквизиты контрагента (наименование банка, БИК, номера счетов, SWIFT - когда Заказчик их вносит, в том числе по контрагенту-физическому лицу; хранятся в зашифрованном виде), сведения об устройствах клиентов, история обращений, фото и видео по заказам, записи телефонных разговоров с клиентами (когда Заказчик подключил телефонию), записи согласий клиентов на рекламные сообщения и их отзывы, в том числе фотографии бумажных согласий, иные данные, которые Заказчик сам вносит в Сервис. Специальные категории персональных данных и биометрию Сервис не обрабатывает.
2.4. Действия. Сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (в объёме работы Сервиса), блокирование, удаление, уничтожение. Способ смешанный: с использованием средств автоматизации и без них.
3. Обязанности Исполнителя (обработчика)
3.1. Обрабатывать данные только по поручению Заказчика и только для целей выше, не использовать их в собственных целях.
3.2. Обеспечивать конфиденциальность данных и допускать к ним только тех, кому это нужно для работы Сервиса, под обязательством о неразглашении.
3.3. Применять меры защиты по ст. 18.1 и 19 152-ФЗ: разграничение доступа по ролям, журналирование действий, шифрование канала (TLS), шифрование секретов (AES-256-GCM) и медиафайлов при хранении (SSE-KMS), приватные хранилища с выдачей файлов только после проверки прав, установленные сроки хранения и порядок удаления.
3.4. Хранить и обрабатывать данные на территории Российской Федерации (ст. 18 ч. 5).
3.5. Помогать Заказчику отвечать на запросы субъектов и обращения Роскомнадзора в части, касающейся работы Сервиса.
3.6. Сообщать Заказчику о ставших известными инцидентах с его данными без необоснованной задержки.
3.7. По завершении обработки (удаление аккаунта, прекращение договора) удалять данные в установленные сроки. При удалении аккаунта данные хранятся ещё 30 дней, после чего удаляются без возможности восстановления.
4. Привлечение других обработчиков (субпроцессоров)
4.1. Заказчик соглашается, что Исполнитель привлекает для работы Сервиса:
Yandex Cloud - хостинг приложения, базы данных и хранилища файлов (Россия);
REG.RU - почтовый хостинг для писем и кодов подтверждения (Россия);
мессенджеры (Telegram, WhatsApp через сервис Green API) - при подключении Заказчиком каналов общения с клиентами; исходящие запросы могут идти через прокси-сервер за пределами России, а переписка WhatsApp проходит через инфраструктуру WhatsApp/Meta за рубежом. В этих случаях происходит трансграничная передача данных переписки, и она инициируется самим Заказчиком включением функции;
MAX (VK, Россия) - доставка уведомлений через бота Исполнителя. Здесь важно отличие от строки выше: этот сервис привлекает сам Исполнитель, а не Заказчик, - Заказчику не нужен ни свой бот, ни свой ключ. Передаются идентификатор аккаунта получателя (сотрудника или клиента, который сам привязал аккаунт) и текст уведомления. Серверы находятся в России, трансграничной передачи не возникает.
4.2. Исполнитель отвечает за действия привлечённых обработчиков как за свои.
4.3. Отдельно от п. 4.1 существуют сервисы, которые Заказчик подключает самостоятельно - по собственному договору со сторонним сервисом и своим ключом доступа. Такой сервис Исполнитель не привлекает и обработчиком по своему поручению не делает; отношения по обработке возникают между Заказчиком и этим сервисом напрямую, и п. 4.2 к ним не применяется. На дату этой редакции это:
DaData (Россия) - подсказки реквизитов организаций из ЕГРЮЛ/ЕГРИП и справочник банков. Ключ доступа Заказчик получает и оплачивает сам. Запрос уходит из браузера пользователя напрямую в DaData, минуя серверы Исполнителя; в DaData передаётся только строка, которую пользователь набрал в поле (название организации, ИНН, название банка или БИК). Полученные сведения сохраняются в Сервисе как обычные данные контрагента.
IP-телефония (например, Mango Office, Novofon, Мойзвонки) - приём и совершение звонков клиентам. Провайдера Заказчик подключает сам, по собственному договору и своему ключу доступа («Настройки → Интеграции → Телефония»). Провайдеру передаётся номер клиента для звонка; записи разговоров хранятся в Сервисе как данные, внесённые Заказчиком.
4.4. Отдельно от пп. 4.1 и 4.3 в Сервисе есть функции обмена данными между Заказчиками - раздел «Сеть» (передача заказа партнёру) и межсервисный паспорт изделий (обмен историей обслуживания по серийному номеру или IMEI). Такой обмен Заказчик включает сам, и данные при нём получает не субпроцессор Исполнителя, а другой Заказчик, который дальше обрабатывает их для собственных целей как самостоятельный оператор. Сама передача выполняется в рамках поручения по этому документу: Исполнитель хранит и передаёт данные как обработчик передающего Заказчика, но дальнейшую обработку у получателя не контролирует и за неё не отвечает - п. 4.2 к получателю не применяется. Основание передачи - включая согласие клиента, где оно нужно, - оформляет Заказчик, который включил функцию и передаёт данные. Получателей по межсервисному паспорту Заказчик не выбирает: историю видит любой Заказчик того же вида деятельности с включённой функцией. Функции обмена доступны только Заказчикам-резидентам Российской Федерации: Сервис проверяет российский ИНН и страну по реквизитам, которые Заказчик указал в настройках компании (сверка с ЕГРЮЛ не производится). Обмен направлен на то, чтобы трансграничная передача данных при нём не возникала; за достоверность указанных реквизитов отвечает Заказчик.
5. Обязанности Заказчика (оператора)
5.1. Заказчик сам определяет состав вносимых данных и отвечает за наличие правовых оснований и согласий субъектов на их обработку.
5.2. Заказчик не вносит в Сервис специальные категории персональных данных и биометрию.
5.3. Заказчик рассматривает запросы своих субъектов как оператор; Исполнитель при необходимости передаёт ему поступившие к нему обращения.
6. Ответственность
Каждая сторона отвечает за нарушение своих обязанностей по обработке персональных данных в соответствии с законодательством Российской Федерации.
7. Контакты
По вопросам обработки персональных данных: support@aivico.ru.