Соглашение о трансграничной передаче персональных данных: образец заполнения и пустой бланк 2026

1.1. Передающая сторона передаёт, а Принимающая сторона принимает и обрабатывает персональные данные, передаваемые с территории Российской Федерации на территорию государства Федеративная Республика Германия, в порядке и на условиях настоящего Соглашения 152-ФЗ ст. 12152-ФЗ ст. 12Трансграничная передача персональных данных.

1.2. Трансграничной передачей признаётся передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1.3. Предоставление иностранному лицу удалённого доступа к информационной системе Передающей стороны также является трансграничной передачей, даже если сами серверы находятся в России.

1.4. Передача начинается не ранее наступления всех перечисленных ниже условий и прекращается при отпадении любого из них.

1.5. Первое условие: Передающая сторона направила в уполномоченный орган по защите прав субъектов персональных данных уведомление о намерении осуществлять трансграничную передачу и истёк установленный законом срок его рассмотрения либо получен ответ, не содержащий запрета 152-ФЗ ст. 23152-ФЗ ст. 23Уполномоченный орган по защите прав субъектов персональных данных.

1.6. Второе условие: Принимающая сторона предоставила Передающей стороне сведения, предусмотренные разделом о сведениях иностранного получателя, и эти сведения не опровергнуты.

1.7. Третье условие: имеется правовое основание обработки для соответствующей категории субъектов, а при передаче в государство, не обеспечивающее адекватной защиты, — дополнительное основание, предусмотренное законом 152-ФЗ ст. 6152-ФЗ ст. 6Условия обработки персональных данных.

1.8. Настоящее Соглашение не является поручением на обработку персональных данных в смысле части 3 статьи 6 закона о персональных данных, если иное прямо не согласовано Сторонами в отдельном договоре поручения.

2.1. Передаче подлежат следующие персональные данные: фамилия, имя, отчество; адрес электронной почты; номер мобильного телефона; идентификатор учётной записи; сведения о заказах и платежах без данных банковских карт.

2.2. Передающая сторона передаёт только те данные, которые необходимы для достижения целей, названных в настоящем Соглашении.

2.3. Избыточные данные не передаются, а ошибочно переданные подлежат немедленному уничтожению Принимающей стороной по уведомлению Передающей стороны 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

2.4. Передаются персональные данные клиентов, покупателей и пользователей сервисов Передающей стороны.

2.5. Передаются персональные данные работников Передающей стороны, а также кандидатов, откликнувшихся на вакансии.

2.6. Передаются персональные данные представителей контрагентов Передающей стороны, указанных в договорах и доверенностях.

2.7. Иные категории субъектов: соискатели, откликнувшиеся на вакансии.

2.8. Перечень передаваемых данных, целей и сроков приведён в Приложении № 1 к настоящему Соглашению и может уточняться Сторонами путём подписания новой редакции приложения без изменения остального текста Соглашения.

3.1. Персональные данные передаются и обрабатываются Принимающей стороной исключительно в следующих целях: размещение резервных копий пользовательской базы в дата-центре получателя и восстановление данных по заявке Передающей стороны.

3.2. Цели передачи не могут быть шире целей, заявленных Передающей стороной субъектам персональных данных и указанных в уведомлении об обработке персональных данных 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

3.3. Обработка переданных данных в собственных целях Принимающей стороны, в том числе для продвижения собственных товаров, работ и услуг, для профилирования и для обогащения собственных массивов данных, запрещена 152-ФЗ ст. 15152-ФЗ ст. 15Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке.

3.4. Принимающая сторона не вправе объединять переданные данные с иными имеющимися у неё массивами данных, если такое объединение выходит за пределы согласованных целей.

3.5. По достижении целей обработки Принимающая сторона прекращает обработку и поступает с данными в порядке, установленном разделом о возврате и уничтожении данных 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

4.1. Передача данных осуществляется способом, выбранным Сторонами: прямой доступ иностранного получателя к информационной системе Передающей стороны.

4.2. Передача по открытым каналам связи допускается только с применением средств криптографической защиты.

4.3. Передача персональных данных по электронной почте без шифрования вложений не допускается.

4.4. Каждая передача фиксируется Передающей стороной в журнале трансграничных передач с указанием даты, состава данных, количества записей и получателя.

4.5. Журнал хранится не менее срока действия настоящего Соглашения и трёх лет после его прекращения 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

4.6. Стороны обеспечивают возможность восстановления сведений о том, какие данные и когда были переданы, что необходимо Передающей стороне для ответов на запросы субъектов и уполномоченного органа.

5.1. Стороны исходят из того, что государство Федеративная Республика Германия является участником Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и относится к государствам, обеспечивающим адекватную защиту прав субъектов персональных данных 152-ФЗ ст. 12152-ФЗ ст. 12Трансграничная передача персональных данных.

5.2. Для передачи в такое государство достаточно уведомления уполномоченного органа о намерении осуществлять трансграничную передачу и наличия общего правового основания обработки; дополнительное основание, предусмотренное для государств без адекватной защиты, не требуется.

5.3. Передающая сторона проверяет статус государства на дату каждой передачи.

5.4. Выход государства из числа участников Конвенции либо приостановление его участия влечёт применение к дальнейшим передачам правил, установленных для государств, не обеспечивающих адекватной защиты.

5.5. Принимающая сторона обязана письменно уведомить Передающую сторону о любых известных ей изменениях правового регулирования, которые влияют на указанный статус, в течение пяти рабочих дней.

6.1. До начала трансграничной передачи Передающая сторона направляет в уполномоченный орган по защите прав субъектов персональных данных уведомление о намерении осуществлять трансграничную передачу персональных данных 152-ФЗ ст. 12152-ФЗ ст. 12Трансграничная передача персональных данных.

6.2. Уведомление направлено 15.02.2026, регистрационный номер 77-26-014892.

6.3. Передача не начинается ранее истечения срока рассмотрения уведомления, установленного законом.

6.4. При изменении сведений, указанных в уведомлении, в том числе при изменении состава передаваемых данных, целей передачи, государства или иностранного получателя, Передающая сторона направляет новое уведомление до начала передачи в изменённых условиях Приказ РКН 274 от 28.10.2022Приказ РКН 274 от 28.10.2022Об утверждении требований к содержанию уведомления об обработке персональных данных (о намерении осуществлять обработку персональных данных).

6.5. Принимающая сторона обязана предоставить Передающей стороне все сведения, необходимые для заполнения уведомления, в течение пяти рабочих дней с даты запроса.

7.1. До начала передачи Принимающая сторона представляет Передающей стороне сведения, необходимые для оценки допустимости трансграничной передачи.

7.2. Сведения представляются в письменной форме и оформляются Приложением № 2 к настоящему Соглашению 152-ФЗ ст. 12152-ФЗ ст. 12Трансграничная передача персональных данных.

7.3. Первый блок сведений: о правовом регулировании обработки персональных данных в государстве Принимающей стороны, включая наличие надзорного органа, права субъектов и порядок их реализации.

7.4. Второй блок сведений: о принимаемых Принимающей стороной мерах по защите передаваемых данных — организационных, технических и правовых.

7.5. Третий блок сведений: об обязанности Принимающей стороны раскрывать данные органам власти своего государства, о наличии и содержании соответствующих требований законодательства и о практике их применения.

7.6. Принимающая сторона обязана уведомить Передающую сторону об изменении представленных сведений в течение десяти рабочих дней с даты, когда изменение стало ей известно.

7.7. Представление недостоверных сведений является существенным нарушением настоящего Соглашения и даёт Передающей стороне право на односторонний отказ от него без возмещения каких-либо расходов Принимающей стороны ГК РФ ст. 450.1ГК РФ ст. 450.1Отказ от договора (исполнения договора).

10.1. Принимающая сторона гарантирует, что в государстве её нахождения обеспечивается защита прав субъектов персональных данных, а применяемые ею меры защиты не ниже требований, предъявляемых законодательством Российской Федерации 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

10.2. Принимающая сторона обрабатывает переданные данные исключительно в целях, названных в настоящем Соглашении, и в объёме, не превышающем согласованный состав данных.

10.3. Принимающая сторона обеспечивает уровень защищённости, соответствующий модели угроз Передающей стороны: 4 — четвёртый уровень.

10.4. Принимающая сторона применяет организационные и технические меры, адекватные рискам нарушения прав субъектов, включая разграничение доступа, шифрование, регистрацию действий с данными и контроль носителей информации ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

10.5. Принимающая сторона не осуществляет обработку переданных данных в государствах, не согласованных настоящим Соглашением, в том числе через размещение данных в дата-центрах третьих стран.

11.1. Принимающая сторона обязуется соблюдать конфиденциальность переданных персональных данных и не раскрывать их третьим лицам без письменного согласия Передающей стороны, за исключением случаев, когда раскрытие прямо предписано обязательным для неё требованием закона 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

11.2. Принимающая сторона обязуется обрабатывать данные только в согласованных целях и прекращать обработку по достижении целей либо по требованию Передающей стороны.

11.3. Принимающая сторона обязуется не принимать в отношении субъектов решений, порождающих юридические последствия, исключительно на основании автоматизированной обработки переданных данных 152-ФЗ ст. 16152-ФЗ ст. 16Права субъекта персональных данных при принятии решений на основании исключительно автоматизированной обработки его персональных данных.

11.4. Принимающая сторона обязуется вести перечень работников, допущенных к переданным данным, и обеспечивать их обучение правилам обработки.

11.5. Принимающая сторона обязуется незамедлительно информировать Передающую сторону о получении требования органа власти иностранного государства о раскрытии переданных данных, если такое информирование не запрещено обязательным для неё предписанием, и раскрывать данные в минимально необходимом объёме.

11.6. Принимающая сторона обязуется содействовать Передающей стороне в рассмотрении обращений субъектов персональных данных и запросов уполномоченного органа.

11.7. Принимающая сторона обязуется по окончании обработки вернуть или уничтожить переданные данные в порядке, установленном настоящим Соглашением 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

14.1. Принимающая сторона определяет угрозы безопасности переданных данных и применяет меры защиты, соразмерные выявленным угрозам и характеру передаваемых данных 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

14.2. Принимающая сторона обеспечивает разграничение прав доступа, применение средств защиты информации, антивирусную защиту и контроль съёмных носителей.

14.3. Принимающая сторона обеспечивает резервное копирование переданных данных и возможность их восстановления в срок, не превышающий двадцати четырёх часов с момента отказа основной системы.

14.4. Принимающая сторона обеспечивает регистрацию событий безопасности и хранение журналов не менее шести месяцев, а также обнаружение фактов несанкционированного доступа к переданным данным.

14.5. Принимающая сторона проводит оценку эффективности принимаемых мер не реже одного раза в год и по запросу представляет Передающей стороне отчёт об оценке 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

14.6. Тестирование, отладка и демонстрация программного обеспечения на массивах реальных персональных данных не допускаются; для этих целей используются обезличенные или синтетические данные.

15.1. Инцидентом признаётся неправомерная или случайная передача, предоставление, распространение либо доступ к переданным персональным данным, а равно их утрата, уничтожение или изменение 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

15.2. Принимающая сторона уведомляет Передающую сторону об инциденте в течение 12 часов с момента, когда инцидент стал ей известен, по адресу security@example.ru с последующим подтверждением на бумажном носителе.

15.3. Первичное уведомление содержит дату и время инцидента, предполагаемые причины, категории и объём затронутых данных, число затронутых субъектов и принятые меры.

15.4. В течение семидесяти двух часов с момента инцидента Принимающая сторона представляет результаты внутреннего расследования: установленные причины, лиц, действия которых привели к инциденту, и план устранения последствий.

15.5. Принимающая сторона не вправе самостоятельно уведомлять об инциденте субъектов персональных данных и российские государственные органы: взаимодействие с ними ведёт Передающая сторона как оператор.

15.6. Расходы Передающей стороны на уведомление субъектов, на расследование и на устранение последствий инцидента, произошедшего по вине Принимающей стороны, возмещаются последней.

16.1. Передающая сторона вправе проверять соблюдение Принимающей стороной условий настоящего Соглашения самостоятельно либо с привлечением независимого аудитора, связанного обязательством о конфиденциальности.

16.2. Принимающая сторона предоставляет запрошенные документы и сведения в течение десяти рабочих дней с даты получения запроса.

16.3. Уполномоченный орган вправе запрашивать у Передающей стороны документы, подтверждающие соблюдение условий трансграничной передачи; Принимающая сторона обязана содействовать в подготовке ответа на такой запрос 152-ФЗ ст. 23152-ФЗ ст. 23Уполномоченный орган по защите прав субъектов персональных данных.

18.1. Субъекты, данные которых передаются по настоящему Соглашению, сохраняют все права, предусмотренные законодательством Российской Федерации о персональных данных: право на доступ к своим данным, на их уточнение, блокирование и уничтожение, а также право отозвать согласие 152-ФЗ ст. 14152-ФЗ ст. 14Право субъекта персональных данных на доступ к его персональным данным.

18.2. Трансграничная передача не ограничивает и не изменяет объём прав субъекта.

18.3. Ссылка на право иностранного государства как на основание отказа субъекту в реализации его прав не допускается.

18.4. Принимающая сторона обеспечивает техническую возможность исполнить требование субъекта об уточнении, блокировании или уничтожении данных в срок, установленный Передающей стороной 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

19.1. Обращения субъектов персональных данных принимает и рассматривает Передающая сторона как оператор.

19.2. Принимающая сторона переадресует поступившие ей обращения Передающей стороне в течение трёх рабочих дней и не отвечает субъекту по существу самостоятельно 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

19.3. По запросу Передающей стороны Принимающая сторона представляет сведения, необходимые для ответа субъекту, в срок, не превышающий семи рабочих дней, а при запросе уполномоченного органа — в срок, указанный Передающей стороной.

19.4. Требование субъекта об уничтожении данных исполняется Принимающей стороной в течение десяти рабочих дней с даты получения соответствующего указания Передающей стороны с составлением акта об уничтожении.

19.5. Требование субъекта о блокировании данных исполняется Принимающей стороной незамедлительно: обработка блокированных данных приостанавливается, за исключением их хранения.

20.1. Стороны несут ответственность за неисполнение и ненадлежащее исполнение настоящего Соглашения в соответствии с его условиями и применимым правом ГК РФ ст. 393ГК РФ ст. 393Обязанность возместить убытки.

20.2. Передающая сторона как оператор отвечает перед субъектами персональных данных за действия Принимающей стороны, которой она поручила обработку или передала данные 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

23.1. Стороны обязуются сохранять конфиденциальность персональных данных и иных сведений, ставших известными в связи с исполнением настоящего Соглашения 152-ФЗ ст. 7152-ФЗ ст. 7Конфиденциальность персональных данных.

23.2. Обязательство о конфиденциальности сохраняется в течение трёх лет после прекращения настоящего Соглашения.

23.3. Раскрытие сведений допускается только с письменного согласия другой Стороны либо по обязательному требованию уполномоченного органа с уведомлением другой Стороны, если такое уведомление не запрещено.

24.1. По прекращении настоящего Соглашения, по достижении целей передачи, а равно по требованию Передающей стороны Принимающая сторона прекращает обработку переданных данных 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

24.2. Согласованный Сторонами порядок обращения с данными: уничтожить персональные данные.

24.3. Срок исполнения — 30 дней с даты наступления соответствующего обстоятельства.

24.4. Обязанность распространяется на все копии данных, включая резервные копии, архивы, тестовые среды и данные, находящиеся у привлечённых третьих лиц.

24.5. Сохранение данных сверх согласованного срока допускается только в объёме, прямо предписанном обязательным для Принимающей стороны требованием закона, с письменным уведомлением Передающей стороны о таком требовании и об объёме сохраняемых данных.

25.1. Уничтожение персональных данных производится способом, исключающим возможность их восстановления и дальнейшей обработки, в том числе с использованием средств гарантированного стирания носителей 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

25.2. По результатам уничтожения составляется акт с указанием даты, состава и объёма уничтоженных данных, применённого способа уничтожения и лиц, участвовавших в процедуре.

25.3. Акт направляется Передающей стороне в течение пяти рабочих дней с даты уничтожения и хранится Сторонами не менее трёх лет.

25.4. Отдельно подтверждается уничтожение данных в резервных копиях и у привлечённых третьих лиц.

27.1. Соглашение вступает в силу с даты подписания обеими Сторонами и действует в течение 3 лет, а в части конфиденциальности, возврата и уничтожения данных — до полного исполнения соответствующих обязанностей.

27.2. Каждая Сторона вправе отказаться от Соглашения, направив письменное уведомление не менее чем за 30 дней до предполагаемой даты прекращения ГК РФ ст. 450ГК РФ ст. 450Основания изменения и расторжения договора.

27.3. Прекращение основного договора, во исполнение которого осуществляется передача, прекращает и настоящее Соглашение с даты прекращения такого договора.

28.1. Стороны освобождаются от ответственности за неисполнение обязательств, если оно вызвано обстоятельствами непреодолимой силы: чрезвычайными и непредотвратимыми при данных условиях обстоятельствами ГК РФ ст. 401ГК РФ ст. 401Основания ответственности за нарушение обязательств.

28.2. Сторона, для которой наступили такие обстоятельства, уведомляет об этом другую Сторону в течение пяти рабочих дней с даты их наступления.

28.3. Отсутствие у Принимающей стороны денежных средств, действия её работников и привлечённых ею третьих лиц, а также сбои её собственной инфраструктуры обстоятельствами непреодолимой силы не признаются.

28.4. Обязанности по обеспечению конфиденциальности, по возврату и уничтожению данных сохраняются и при наступлении обстоятельств непреодолимой силы.

30.1. Юридически значимые сообщения направляются Сторонами по адресам, указанным в настоящем Соглашении: Передающей стороне — по адресу info@example.ru, Принимающей стороне — по адресу legal@nordwind-data.example.

30.2. Сообщение считается доставленным и в том случае, если оно поступило адресату, но по обстоятельствам, зависящим от него, не было ему вручено или адресат не ознакомился с ним.

30.3. Сообщения об инцидентах, о приостановлении передачи и о требованиях уполномоченного органа направляются также по электронной почте и считаются полученными в день отправления.

30.4. Об изменении адресов Сторона уведомляет другую Сторону в течение трёх рабочих дней; до получения уведомления сообщения по прежнему адресу считаются направленными надлежащим образом.

31.1. Ответственным за организацию обработки персональных данных у Передающей стороны является генеральный директор Иванов Иван Иванович; контакты для взаимодействия: info@example.ru, +7 (900) 000-00-00 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

31.2. Изменения и дополнения к настоящему Соглашению действительны, если они совершены в письменной форме и подписаны обеими Сторонами.

31.3. Приложения к настоящему Соглашению являются его неотъемлемой частью.

31.4. Соглашение составлено в двух экземплярах, имеющих равную юридическую силу, по одному для каждой Стороны.

Приложение к Соглашению о трансграничной передаче персональных данных № 17/ТГП-2026 от 15.01.2026.

Передающая сторона: ООО «Ромашка». Принимающая сторона: Nordwind Data Services GmbH (Федеративная Республика Германия).

Общий состав передаваемых данных: фамилия, имя, отчество; адрес электронной почты; номер мобильного телефона; идентификатор учётной записи; сведения о заказах и платежах без данных банковских карт.

Цели передачи: размещение резервных копий пользовательской базы в дата-центре получателя и восстановление данных по заявке Передающей стороны.

Способ передачи: прямой доступ иностранного получателя к информационной системе Передающей стороны. База данных на территории Российской Федерации, в которой ведётся первичная обработка: ИСПДн «Клиенты», ЦОД в г. Москве, ул. Складочная, д. 3.

Приложение подписывается одновременно с Соглашением и обновляется при изменении состава передаваемых данных или целей передачи.

От Передающей стороны ________________ / Соколова Мария Андреевна От Принимающей стороны ________________ / управляющего директора Маркуса Вебера (Markus Weber)

Сведения представлены Принимающей стороной Nordwind Data Services GmbH до начала трансграничной передачи и являются условием её начала.

Государство обработки данных: Федеративная Республика Германия.

Раздел 1. Правовое регулирование обработки персональных данных в государстве получателя: наличие закона о защите данных, надзорного органа, перечень прав субъектов и порядок их реализации, наличие судебной защиты для иностранных граждан.

Раздел 2. Меры защиты, принимаемые получателем: организационные меры, технические средства защиты, порядок допуска работников, порядок реагирования на инциденты, наличие сертификатов соответствия.

Раздел 3. Обязанности получателя по раскрытию данных органам власти своего государства: основания раскрытия, объём раскрываемых сведений, возможность уведомить Передающую сторону о таком раскрытии.

Раздел 4. Сведения о привлекаемых получателем третьих лицах и о государствах их нахождения.

Достоверность представленных сведений подтверждается Принимающей стороной. Об изменении сведений Принимающая сторона уведомляет Передающую сторону в течение десяти рабочих дней.

Сведения проверены Передающей стороной: генеральный директор Иванов Иван Иванович, дата ______________, подпись ________________