Договор поручения на обработку персональных данных: образец заполнения и пустой бланк 2026

1.1. Оператор поручает, а Обработчик принимает на себя обязательство осуществлять обработку персональных данных (далее — ПДн) в объёме, в целях и на условиях, установленных настоящим Договором, исключительно в интересах и по заданию Оператора.

1.2. Договор заключён во исполнение части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) 152-ФЗ ч. 3 ст. 6152-ФЗ ч. 3 ст. 6Основные понятия, используемые в настоящем Федеральном законе.

1.3. В части, не урегулированной законодательством о персональных данных, к отношениям Сторон применяются правила о договоре поручения ГК РФ ст. 971ГК РФ ст. 971Договор поручения.

1.4. Обработчик обрабатывает персональные данные только по поручению и в интересах Оператора и не определяет самостоятельно ни цели обработки, ни состав обрабатываемых данных.

1.5. Обработка осуществляется в рамках исполнения Сторонами обязательств по договору: договор оказания услуг № 14/26 от 12.01.2026 (далее — Основной договор).

1.6. Настоящий Договор является неотъемлемой частью Основного договора.

1.7. При противоречии условий в части обработки ПДн применяются условия настоящего Договора.

1.8. Обработчик не приобретает прав в отношении переданных ПДн, не вправе использовать их в собственных интересах и не является оператором этих данных.

1.9. Согласие субъекта ПДн на обработку данных Обработчиком не требуется.

1.10. Обязанность получить согласие субъекта либо обеспечить иное законное основание обработки лежит на Операторе 152-ФЗ ст. 6152-ФЗ ст. 6Условия обработки персональных данных.

1.11. Состав передаваемых данных, категории субъектов, цели и разрешённые действия с данными определяются настоящим Договором и Приложение № 1.

2.1. Обработчик вправе совершать с переданными ПДн только следующие действия (операции):

2.2. сбор данных от имени Оператора в объёме, необходимом для исполнения поручения

2.3. запись, систематизацию и накопление данных в информационных системах Обработчика

2.4. хранение данных в течение срока действия поручения

2.5. уточнение (обновление, изменение) данных по указанию Оператора либо по обращению субъекта, переадресованному Оператором

2.6. извлечение и использование данных исключительно для целей, названных в настоящем Договоре

2.7. передачу (предоставление) данных Оператору, а также лицам, прямо указанным Оператором в письменной форме

2.8. обезличивание данных, если Оператор разрешил это в письменной форме

2.9. блокирование данных по требованию Оператора, субъекта ПДн или уполномоченного органа

2.10. удаление и уничтожение данных в порядке, установленном настоящим Договором

2.11. Любое действие с ПДн, не названное в настоящем разделе, Обработчику запрещено.

2.12. Обработчик не вправе распространять ПДн, открывать к ним доступ неограниченному кругу лиц, использовать данные для собственного продвижения товаров и услуг, для обучения моделей машинного обучения, для обогащения собственных баз и для любых иных собственных целей.

2.13. Способ обработки: смешанная обработка — с использованием средств автоматизации и без использования таких средств.

3.1. Обработчик обрабатывает переданные ПДн строго в целях, названных в настоящем разделе.

3.2. Обработка в любых иных целях, в том числе в собственных целях Обработчика, является нарушением поручения.

3.3. Цели обработки должны соответствовать целям, заявленным Оператором субъектам ПДн и в уведомлении об обработке, направленном в уполномоченный орган 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

3.4. Обработчик не вправе объединять переданные данные с иными массивами данных, находящимися в его распоряжении, если это выходит за пределы заявленных целей.

3.5. По достижении целей обработки Обработчик прекращает обработку и поступает с данными в порядке, установленном разделом о возврате и уничтожении данных 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

4.1. Обработчик обрабатывает ПДн в целях предоставления Оператору вычислительных мощностей, дискового пространства и сервисов резервного копирования.

4.2. Обработчик размещает данные на серверах, находящихся на территории Российской Федерации, обеспечивает доступность инфраструктуры и восстановление данных из резервных копий по заявке Оператора.

4.3. Обработчик не осуществляет содержательный доступ к данным: сотрудники Обработчика получают доступ к массивам ПДн только в объёме, необходимом для устранения технического сбоя, и только с фиксацией такого доступа в журнале.

5.1. Обработчику передаются ПДн следующих категорий субъектов:

5.2. клиенты и пользователи Оператора — физические лица, обратившиеся к Оператору за товарами, работами или услугами

5.3. работники Оператора, кандидаты на трудоустройство и бывшие работники в пределах установленных сроков хранения

5.4. представители, работники и уполномоченные лица контрагентов Оператора

5.5. Иные категории субъектов: участники программы лояльности.

5.6. Состав передаваемых ПДн: фамилия, имя, отчество, номер телефона, адрес электронной почты, адрес доставки, номер заказа.

5.7. Оператор передаёт Обработчику минимально необходимый объём данных.

5.8. Передача данных, не требующихся для достижения целей поручения, не допускается 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

5.9. Стороны ведут учёт фактически переданных данных по форме Приложение № 1. Изменение состава данных оформляется новой редакцией приложения, подписанной обеими Сторонами.

8.1. Обработчик обязуется:

8.2. осуществлять обработку ПДн исключительно в целях и объёме, указанных в настоящем Договоре, строго следуя письменным указаниям Оператора

8.3. принимать технические и организационные меры для обеспечения безопасности ПДн, предусмотренные статьёй 19 Закона о персональных данных 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных и приказом ФСТЭК России от 18.02.2013 № 21 Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн

8.4. не раскрывать ПДн третьим лицам и не распространять их без письменного согласия Оператора, если иное не предусмотрено федеральным законом

8.5. по запросу Оператора в течение пяти рабочих дней предоставлять сведения о принятых мерах защиты и об осуществляемой обработке

8.6. уведомлять Оператора о фактах нарушения безопасности ПДн, несанкционированного доступа и иных инцидентах незамедлительно, но не позднее 12 часов с момента обнаружения

8.7. по прекращении обработки вернуть либо уничтожить ПДн в течение 30 календарных дней и направить Оператору подтверждающий акт

8.8. не привлекать третьих лиц к обработке ПДн без предварительного письменного согласия Оператора

8.9. письменно предупреждать Оператора о том, что его указание противоречит законодательству о персональных данных, и воздерживаться от исполнения такого указания до его отзыва или письменного подтверждения Оператором

9.1. Обработчик обязан обеспечить безопасность переданных ПДн и принять меры, предусмотренные статьёй 19 Закона о персональных данных 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных, в объёме не ниже мер, применяемых Оператором.

9.2. Уровень защищённости информационных систем Обработчика, в которых обрабатываются переданные ПДн: 4 — четвёртый уровень.

9.3. Уровень определён по правилам постановления Правительства Российской Федерации от 01.11.2012 № 1119 ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

9.4. Обработчик применяет состав и содержание мер защиты, установленные приказом ФСТЭК России от 18.02.2013 № 21 Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн, в том числе:

9.5. разграничение прав доступа и предоставление доступа к ПДн только работникам, которым он необходим для исполнения трудовых обязанностей

9.6. регистрацию событий безопасности и хранение журналов не менее 12 месяцев

9.7. защиту каналов передачи данных средствами шифрования

9.8. резервное копирование и проверку восстановимости резервных копий

9.9. антивирусную защиту, контроль съёмных машинных носителей и защиту от несанкционированного выноса данных

9.10. учёт машинных носителей ПДн и лиц, допущенных к обработке

9.11. оценку эффективности принимаемых мер не реже одного раза в год

9.12. Обработчик обрабатывает и хранит ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

9.13. Обработчик обязан назначить лицо, ответственное за организацию обработки ПДн, и сообщить Оператору его контактные данные 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

9.14. Обработчик обязан осуществлять внутренний контроль соответствия обработки ПДн требованиям закона и локальным актам, знакомить работников с этими требованиями и обучать их 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

11.1. Обработчик вправе привлекать третьих лиц (субобработчиков) к обработке переданных ПДн только с предварительного письменного согласия Оператора и только на условиях, не менее строгих, чем установленные настоящим Договором.

11.2. Согласованные Сторонами субобработчики: ООО «Облако», ИНН 7712345678 — размещение серверов; ООО «Курьер», ИНН 7798765432 — доставка.

11.3. О намерении привлечь нового субобработчика либо заменить действующего Обработчик уведомляет Оператора не менее чем за тридцать календарных дней.

11.4. Оператор вправе мотивированно возразить, и в этом случае привлечение не допускается.

11.5. Обработчик обязан включить в договор с субобработчиком условия о целях и перечне действий с данными, о конфиденциальности, о мерах защиты, об уведомлении об инцидентах и об уничтожении данных.

11.6. За действия привлечённых лиц Обработчик отвечает перед Оператором как за свои собственные ГК РФ ст. 971ГК РФ ст. 971Договор поручения.

11.7. Передача ПДн в рамках исполнения обязанностей, установленных федеральным законом, в том числе по запросу суда или правоохранительного органа, не является нарушением настоящего раздела.

11.8. Об исполнении такого запроса Обработчик уведомляет Оператора незамедлительно, если уведомление не запрещено законом.

13.1. Оператор обязуется:

13.2. передавать Обработчику только те ПДн, которые необходимы для выполнения поручения, соблюдая принцип минимизации данных 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных

13.3. обеспечить наличие согласия субъекта ПДн либо иного законного основания обработки и по запросу Обработчика подтвердить основание документально 152-ФЗ ст. 9152-ФЗ ст. 9Согласие субъекта персональных данных на обработку его персональных данных

13.4. своевременно уведомлять Обработчика об изменениях в перечне ПДн, целях и условиях обработки, а также об отзыве согласия субъектом

13.5. давать указания Обработчику в письменной форме и не давать указаний, противоречащих законодательству о персональных данных

13.6. самостоятельно рассматривать обращения субъектов ПДн и отвечать на них

13.7. оплачивать услуги Обработчика в порядке и сроки, установленные Основным договором

14.1. Обработчик обязан уведомить Оператора о любом инциденте с переданными ПДн в течение 12 часов с момента его обнаружения.

14.2. Уведомление направляется по адресу security@trade-invest.ru и дублируется телефонным сообщением ответственному лицу Оператора.

14.3. Инцидентом признаётся неправомерная или случайная передача данных, предоставление к ним доступа, распространение, а равно уничтожение, изменение, блокирование или копирование данных без законных оснований, включая обоснованное предположение о таких событиях.

14.4. Первичное уведомление содержит:

14.5. дату, время и обстоятельства обнаружения инцидента

14.6. предполагаемые причины и способ реализации инцидента

14.7. категории субъектов ПДн и предполагаемое их число

14.8. состав данных, которые могли быть скомпрометированы

14.9. принятые и планируемые меры локализации

14.10. фамилию, имя, отчество и контакты работника Обработчика, ответственного за реагирование

14.11. Обработчик обязан направить Оператору результаты внутреннего расследования не позднее сорока восьми часов с момента обнаружения инцидента.

14.12. Обработчик не вправе самостоятельно уведомлять уполномоченный орган, субъектов ПДн, средства массовой информации и иных лиц об инциденте, затрагивающем данные Оператора, без письменного согласования с Оператором.

14.13. Обработчик обязан обеспечить сохранность журналов, образов систем и иных сведений, имеющих значение для расследования, не менее трёх лет и предоставить их Оператору по запросу.

14.14. Сокрытие инцидента либо нарушение срока уведомления является существенным нарушением Договора и даёт Оператору право на односторонний отказ от Договора.

15.1. Обращения субъектов ПДн рассматривает Оператор.

15.2. Обработчик, получивший обращение субъекта, передаёт его Оператору в течение трёх рабочих дней и не отвечает субъекту по существу.

15.3. По запросу Оператора Обработчик в течение пяти рабочих дней предоставляет сведения, необходимые для ответа субъекту: факт обработки, правовые основания, состав обрабатываемых данных, сроки обработки, сведения о лицах, имеющих доступ к данным 152-ФЗ ст. 14152-ФЗ ст. 14Право субъекта персональных данных на доступ к его персональным данным.

15.4. При получении от Оператора требования об уточнении, блокировании или уничтожении данных конкретного субъекта Обработчик исполняет его в течение трёх рабочих дней и направляет Оператору письменное подтверждение 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

15.5. О получении запроса уполномоченного органа по защите прав субъектов ПДн, касающегося данных Оператора, Обработчик уведомляет Оператора в течение одного рабочего дня и согласовывает с ним содержание ответа.

16.1. Обработчик обязан обеспечить субъектам ПДн возможность реализации их прав, предусмотренных Законом о персональных данных, путём передачи их обращений Оператору 152-ФЗ ст. 17152-ФЗ ст. 17Право на обжалование действий оператора.

16.2. Обработчик не вправе самостоятельно отвечать на запросы субъектов ПДн, если иное не предусмотрено отдельным письменным соглашением Сторон.

16.3. Обработчик обязан по указанию Оператора прекратить обработку данных субъекта, отозвавшего согласие, и уничтожить их в сроки, установленные законом 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

17.1. Оператор вправе проводить проверку обработки ПДн Обработчиком не чаще одного раза в год, предварительно уведомив Обработчика не менее чем за 10 рабочих дней.

17.2. Внеплановая проверка проводится без ограничения по частоте при инциденте с ПДн, при поступлении Оператору требования уполномоченного органа и при обращении субъекта ПДн, указывающем на нарушение.

17.3. Обработчик обязан предоставить Оператору и уполномоченным органам государственной власти доступ к документации и к средствам обработки ПДн в ходе проверки.

19.1. За неисполнение или ненадлежащее исполнение обязательств по Договору Стороны отвечают в соответствии с законодательством Российской Федерации.

19.2. Оператор отвечает перед субъектом ПДн за действия Обработчика, которому он поручил обработку 152-ФЗ ч. 3 ст. 6152-ФЗ ч. 3 ст. 6Основные понятия, используемые в настоящем Федеральном законе.

19.3. Обработчик отвечает перед Оператором за убытки, причинённые нарушением настоящего Договора, в том числе за несанкционированное использование переданных данных ГК РФ ст. 393ГК РФ ст. 393Обязанность возместить убытки.

19.4. Лица, виновные в нарушении требований законодательства о персональных данных, несут гражданско-правовую, административную и уголовную ответственность 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

22.1. Обработчик обязан обеспечить конфиденциальность переданных ПДн и не раскрывать их третьим лицам без согласия субъекта, если иное не предусмотрено федеральным законом 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

22.2. Лица, осуществляющие обработку ПДн у Обработчика, должны быть ознакомлены с требованиями законодательства о персональных данных и с локальными актами Обработчика по вопросам обработки данных.

22.3. Обязательство о конфиденциальности действует в течение всего срока действия Договора и после его прекращения в сроки, установленные разделом о режиме конфиденциальности.

23.1. Обработка ПДн прекращается при достижении целей обработки, при прекращении Основного договора, при прекращении настоящего Договора либо по письменному требованию Оператора — в зависимости от того, что наступит раньше 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

23.2. С момента прекращения обработки Обработчик обязан немедленно заблокировать доступ к переданным данным для всех работников, кроме лиц, участвующих в их возврате или уничтожении.

23.3. Срок исполнения обязанности по возврату или уничтожению данных: 30 календарных дней с даты прекращения обработки.

23.4. Обработчик обязан обеспечить удаление данных из всех сред, включая тестовые и резервные копии, а также у привлечённых лиц.

23.5. Об исполнении обязанности Обработчик направляет Оператору акт, подписанный уполномоченными лицами Обработчика.

23.6. Форма акта приведена в Приложение № 2.

23.7. Обработчик вправе сохранить переданные данные после прекращения обработки только в объёме и на срок, прямо предписанные федеральным законом, с уведомлением Оператора о таком объёме и сроке.

24.1. По окончании поручения Обработчик уничтожает переданные ПДн.

24.2. Уничтожение производится способом, исключающим восстановление данных: для электронных данных — гарантированным затиранием с последующей проверкой, для машинных носителей — размагничиванием или механическим разрушением, для документов на бумаге — измельчением.

24.3. Уничтожение оформляется актом с указанием даты, состава уничтоженных данных, применённого способа и лиц, производивших уничтожение.

24.4. Акт направляется Оператору в течение трёх рабочих дней с даты уничтожения.

25.1. Договор вступает в силу с момента подписания Сторонами и действует в течение 3 лет, но в любом случае не дольше срока действия Основного договора.

25.2. Если ни одна из Сторон не заявит о прекращении Договора за тридцать календарных дней до истечения срока, Договор считается продлённым на тот же срок.

25.3. Каждая из Сторон вправе расторгнуть Договор досрочно, направив другой Стороне письменное уведомление не менее чем за тридцать календарных дней.

25.4. Досрочное расторжение Договора не освобождает Обработчика от обязанности вернуть или уничтожить переданные ПДн.

26.1. Сторона освобождается от ответственности за неисполнение обязательств, если докажет, что оно вызвано обстоятельствами непреодолимой силы — чрезвычайными и непредотвратимыми при данных условиях ГК РФ ст. 401ГК РФ ст. 401Основания ответственности за нарушение обязательств.

26.2. Отсутствие у Стороны денежных средств, нарушение обязательств её контрагентами и отсутствие на рынке нужных товаров к таким обстоятельствам не относятся.

26.3. Сторона обязана уведомить другую Сторону о наступлении и о прекращении таких обстоятельств в течение пяти рабочих дней.

26.4. Наступление обстоятельств непреодолимой силы не освобождает Обработчика от обязанностей обеспечивать конфиденциальность данных и уведомлять Оператора об инцидентах.

28.1. Юридически значимые сообщения направляются по адресам, указанным в реквизитах Сторон, заказным письмом с уведомлением о вручении либо вручаются под подпись.

28.2. Оперативная переписка ведётся по адресам электронной почты, указанным в реквизитах.

28.3. Сообщение считается полученным на следующий рабочий день после отправки, если отправитель не получил уведомления о недоставке.

28.4. Уведомления об инцидентах, требования о блокировании и уничтожении данных и запросы в связи с обращениями субъектов направляются по электронной почте и признаются надлежащими без дублирования на бумаге.

28.5. Об изменении адресов и контактных данных Сторона уведомляет другую Сторону в течение трёх рабочих дней.

29.1. Настоящий Договор составлен в двух экземплярах, имеющих равную юридическую силу, — по одному для каждой из Сторон.

29.2. Все изменения и дополнения к Договору действительны лишь при условии их оформления в письменной форме и подписания уполномоченными представителями Сторон.

29.3. Приложения к Договору являются его неотъемлемой частью.

29.4. Во всём, что не предусмотрено настоящим Договором, Стороны руководствуются законодательством Российской Федерации, в том числе Законом о персональных данных.

Настоящее приложение конкретизирует состав данных, передаваемых Оператором Обработчику, и перечень действий, которые Обработчик вправе с ними совершать.

Оператор: ООО «Трейд-Инвест». Обработчик: ООО «Северный ветер». Дата: 01.01.2026.

Данные, не включённые в таблицу, Обработчику не передаются и им не обрабатываются.

Изменение перечня оформляется новой редакцией настоящего приложения, подписанной обеими Сторонами.

Акт составляется Обработчиком по окончании поручения и направляется Оператору в срок, установленный Договором.

АКТ о возврате (уничтожении) персональных данных к договору поручения № ПДн-07/2026

Комиссия Обработчика ООО «Северный ветер» в составе председателя и членов комиссии составила настоящий акт о том, что персональные данные, переданные Оператором ООО «Трейд-Инвест» по договору поручения, возвращены Оператору и (или) уничтожены в следующем объёме:

Комиссия подтверждает, что переданные персональные данные удалены из всех информационных систем Обработчика, включая тестовые среды и резервные копии, а также у привлечённых к обработке лиц, и что их восстановление невозможно.

Сведения, сохранённые Обработчиком в силу прямого предписания федерального закона: