Типовые условия об обработке ПДн для договоров

1.1. Настоящие Условия регулируют порядок обработки персональных данных физических лиц в связи с заключением и исполнением договора между Сторонами.

1.2. Под персональными данными понимается любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

1.3. Настоящие Условия не создают у Сторон прав и обязанностей, противоречащих законодательству о персональных данных, и толкуются в пользу соблюдения прав субъектов.

1.4. Если отдельные положения Условий противоречат основному договору, применяются положения настоящих Условий, если только основной договор не устанавливает более строгих требований к защите данных.

2.1. В рамках заключения и исполнения договора Стороны обрабатывают следующие категории персональных данных физических лиц — представителей Сторон и иных лиц, участвующих в исполнении договора.

2.2. Идентификационные данные — фамилия, имя и отчество, должность, наименование представляемой организации.

2.3. Контактные данные — адрес электронной почты, номер телефона, почтовый адрес для направления корреспонденции.

2.4. Данные документов, подтверждающих полномочия, — реквизиты доверенности, приказа о назначении, решения о назначении единоличного исполнительного органа.

2.5. Платёжные данные — банковские реквизиты для расчётов, идентификационный номер налогоплательщика физического лица, необходимый для документооборота.

2.6. Данные, необходимые для исполнения обязательств по конкретному договору, — указываются в самом договоре или в приложении к нему.

2.7. Обработка данных в объёме, превышающем указанный перечень, требует отдельного правового основания и не осуществляется в силу одного лишь факта заключения договора 152-ФЗ ст. 5152-ФЗ ст. 5Принципы обработки персональных данных.

3.1. Стороны передают друг другу следующие персональные данные: __________.

3.2. Категории субъектов персональных данных: __________.

3.3. Цели обработки передаваемых данных: __________.

3.4. Состав передаваемых данных ограничивается необходимым для достижения указанных целей.

3.5. Данные, переданные сверх этого объёма, подлежат уничтожению получившей их Стороной по уведомлению передавшей Стороны.

3.6. Специальные категории персональных данных и биометрические персональные данные по договору не передаются, если иное прямо не согласовано Сторонами в письменной форме 152-ФЗ ст. 10152-ФЗ ст. 10Специальные категории персональных данных.

3.7. Развёрнутый перечень передаваемых данных приведён в Приложении № 1 к настоящим Условиям.

4.1. Правовым основанием обработки является необходимость исполнения договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных 152-ФЗ ст. 6152-ФЗ ст. 6Условия обработки персональных данных.

4.2. Обработка данных представителей контрагента осуществляется в целях достижения законных интересов оператора при условии, что при этом не нарушаются права и свободы субъекта.

4.3. Обработка осуществляется также в целях соблюдения обязанностей, возложенных на Стороны законом: налоговых, бухгалтерских, архивных.

4.4. Согласие субъекта персональных данных требуется для целей, не охватываемых указанными основаниями, в частности для рекламных рассылок и для передачи данных в целях, не связанных с исполнением договора 152-ФЗ ст. 9152-ФЗ ст. 9Согласие субъекта персональных данных на обработку его персональных данных.

5.1. Сторона, передающая данные своих работников и представителей, обязана до передачи уведомить этих лиц о факте передачи и о её условиях 152-ФЗ ст. 18152-ФЗ ст. 18Обязанности оператора при сборе персональных данных.

5.2. Уведомление содержит наименование и адрес получателя данных, цель обработки, состав передаваемых данных, срок обработки и порядок реализации прав субъекта.

5.3. Форма уведомления определяется передающей Стороной самостоятельно: включение соответствующего раздела в трудовой договор, в должностную инструкцию, в согласие работника либо направление отдельного уведомления.

5.4. Получающая Сторона вправе запросить подтверждение исполнения этой обязанности, а передающая Сторона обязана представить его в течение десяти рабочих дней.

5.5. Неисполнение обязанности по уведомлению не создаёт обязанностей у получающей Стороны, но не освобождает передающую Сторону от ответственности перед субъектом и перед уполномоченным органом.

7.1. Персональные данные обрабатываются в течение срока, необходимого для достижения целей обработки, но не дольше сроков, установленных законом для хранения соответствующих документов.

7.2. Для документов финансово-хозяйственной деятельности срок хранения составляет срок действия договора и пять лет после его исполнения.

7.3. Для обращений и переписки, связанной с договором, срок хранения составляет три года.

7.4. Для документов по личному составу и иных документов, для которых закон устанавливает специальные сроки, применяются сроки, предусмотренные законодательством об архивном деле 125-ФЗ ст. 22.1125-ФЗ ст. 22.1Сроки хранения документов по личному составу.

7.5. Истечение срока хранения, достижение цели обработки и отзыв согласия субъекта являются самостоятельными основаниями прекращения обработки 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

8.1. По исполнении договора и по истечении сроков хранения Стороны прекращают обработку переданных персональных данных и уничтожают их 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

8.2. Срок уничтожения — __________ дней с даты, когда отпали и цель обработки, и обязанность хранить соответствующие документы.

8.3. Уничтожение производится способом, исключающим восстановление данных, и оформляется актом с указанием даты, состава уничтоженных данных и применённого способа.

8.4. Обязанность уничтожения распространяется на резервные копии, архивы и тестовые среды, а также на копии, переданные третьим лицам.

8.5. Копия акта об уничтожении представляется другой Стороне по её письменному запросу в течение десяти рабочих дней.

8.6. Хранение данных сверх установленного срока допускается только в объёме, прямо предписанном законом, с письменным уведомлением другой Стороны об основании и объёме такого хранения.

9.1. Сторона вправе передавать полученные персональные данные третьим лицам при наличии согласия субъекта, при необходимости исполнения договора с субъектом либо по требованию закона 152-ФЗ ст. 6152-ФЗ ст. 6Условия обработки персональных данных.

9.2. Передача данных лицам, оказывающим услуги по обработке, оформляется поручением на обработку персональных данных с обязательным перечнем действий, целей обработки и требований к конфиденциальности и безопасности.

9.3. Передача данных в целях, не связанных с исполнением договора, в том числе в рекламных целях, без согласия субъекта не допускается 152-ФЗ ст. 15152-ФЗ ст. 15Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке.

9.4. О каждом случае раскрытия данных по требованию государственного органа Сторона уведомляет другую Сторону в течение трёх рабочих дней, если уведомление не запрещено законом.

10.1. Стороны обеспечивают запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации 152-ФЗ ст. 18152-ФЗ ст. 18Обязанности оператора при сборе персональных данных.

10.2. База данных, используемая для первичной обработки: __________.

10.3. Использование иностранных сервисов электронной почты, облачных хранилищ, систем управления взаимоотношениями с клиентами и сервисов аналитики не отменяет обязанности локализации и не может подменять российскую базу данных.

10.4. Каждая Сторона самостоятельно отвечает за исполнение требования о локализации в своей информационной системе 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

11.1. Стороны принимают технические и организационные меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

11.2. Доступ к данным предоставляется по принципу минимально необходимых привилегий и оформляется распорядительным документом.

11.3. При передаче данных по открытым каналам связи применяются средства шифрования; передача незашифрованных массивов данных по электронной почте не допускается.

11.4. Стороны обеспечивают резервное копирование данных и регистрацию действий с данными в информационных системах.

11.5. Стороны определяют угрозы безопасности данных и применяют меры защиты, соответствующие требуемому уровню защищённости информационной системы ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

11.6. Стороны проводят оценку эффективности принятых мер не реже одного раза в год и осуществляют внутренний контроль соответствия обработки требованиям закона.

13.1. Каждая Сторона назначает лицо, ответственное за организацию обработки персональных данных, и обеспечивает его непосредственное подчинение руководителю 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

13.2. Ответственным за организацию обработки персональных данных у Стороны 1 является __________ __________; контакты для взаимодействия: __________, __________.

13.3. Сторона 2 сообщает контакты своего ответственного лица в течение пяти рабочих дней с даты заключения договора.

13.4. Взаимодействие по вопросам обработки данных, включая запросы, уведомления и согласования, ведётся через ответственных лиц Сторон.

14.1. Инцидентом признаётся неправомерная или случайная передача, предоставление, распространение или доступ к персональным данным, а равно их утрата, уничтожение или изменение 152-ФЗ ч. 3.1 ст. 21152-ФЗ ч. 3.1 ст. 21Уведомление об инциденте (утечке) ПДн.

14.2. Сторона, у которой произошёл инцидент, уведомляет другую Сторону в течение __________ часов с момента, когда инцидент стал ей известен, по адресу __________.

14.3. Первичное уведомление содержит дату и время инцидента, предполагаемые причины, категории и объём затронутых данных и число затронутых субъектов.

14.4. В течение семидесяти двух часов с момента обнаружения инцидента Сторона представляет результаты внутреннего расследования: установленные причины, лиц, действия которых привели к инциденту, и принятые меры.

14.5. Расходы на уведомление субъектов, на расследование и на устранение последствий инцидента несёт Сторона, по вине которой инцидент произошёл.

15.1. Субъект персональных данных вправе получить подтверждение факта обработки его данных и сведения об условиях обработки 152-ФЗ ст. 14152-ФЗ ст. 14Право субъекта персональных данных на доступ к его персональным данным.

15.2. Субъект вправе требовать уточнения своих данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

15.3. Субъект вправе отозвать согласие на обработку данных и обжаловать действия оператора в уполномоченный орган или в суд 152-ФЗ ст. 9152-ФЗ ст. 9Согласие субъекта персональных данных на обработку его персональных данных.

15.4. Запросы субъектов принимаются по адресу электронной почты __________ и по почтовому адресу __________.

16.1. Сторона, получившая обращение субъекта персональных данных, рассматривает его и даёт ответ в сроки, установленные законом 152-ФЗ ст. 20152-ФЗ ст. 20Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса субъекта персональных данных или его представителя, а также уполномоченного органа по защите прав субъектов персональных данных.

16.2. Если для ответа необходимы сведения, находящиеся у другой Стороны, такие сведения представляются в течение пяти рабочих дней с даты запроса, а при запросе уполномоченного органа — в срок, указанный запрашивающей Стороной.

16.3. Требование субъекта об уточнении данных исполняется обеими Сторонами: Сторона, получившая требование, направляет другой Стороне сведения об уточнении в течение трёх рабочих дней.

16.4. Требование субъекта об уничтожении данных исполняется в течение десяти рабочих дней с даты его получения либо с даты получения соответствующего указания другой Стороны.

17.1. Каждая Сторона отвечает за нарушение законодательства о персональных данных, допущенное при обработке данных в её информационной системе 152-ФЗ ст. 24152-ФЗ ст. 24Ответственность за нарушение закона о ПДн.

17.2. Сторона, передающая другой Стороне персональные данные третьих лиц, гарантирует наличие законного основания для передачи и отвечает за нарушение этой гарантии.

20.1. Расторжение или иное прекращение основного договора прекращает право Сторон обрабатывать полученные по нему персональные данные, за исключением объёма, необходимого для исполнения обязанностей по хранению документов ГК РФ ст. 450ГК РФ ст. 450Основания изменения и расторжения договора.

20.2. С даты прекращения договора Стороны прекращают любые операции с данными, кроме их хранения, и в согласованный срок уничтожают данные либо возвращают их передавшей Стороне.

20.3. Поручение обработки прекращается одновременно с основным договором и не может продолжаться на основании фактических отношений Сторон.

20.4. Прекращение обработки оформляется актом, в котором фиксируются дата прекращения, состав данных и избранный способ обращения с ними 152-ФЗ ст. 21152-ФЗ ст. 21Прекращение обработки и отзыв согласия.

20.5. Обязанности по конфиденциальности, по уведомлению об инцидентах в отношении ранее переданных данных и по возмещению убытков сохраняются и после прекращения договора.

22.1. Настоящие Условия применяются ко всем договорам __________, предусматривающим передачу или обработку персональных данных физических лиц, если иное не установлено отдельным соглашением Сторон.

22.2. Условия могут быть включены в договор путём воспроизведения их текста в договоре, оформления приложением к договору либо ссылкой на редакцию, опубликованную на сайте __________ ГК РФ ст. 421ГК РФ ст. 421Свобода договора.

22.3. Изменение Условий в части, ухудшающей положение субъектов персональных данных или расширяющей состав обрабатываемых данных, применяется к заключённым договорам только по соглашению Сторон.

22.4. Изменение Условий в части, отражающей изменения законодательства, применяется с даты вступления соответствующих изменений в силу, о чём Сторона 1 уведомляет Сторону 2 ГК РФ ст. 450ГК РФ ст. 450Основания изменения и расторжения договора.

22.5. Действующая редакция Условий размещается на сайте __________ с указанием даты её утверждения.

22.6. Архив предыдущих редакций хранится не менее трёх лет.

22.7. Недействительность отдельного положения Условий не влечёт недействительности остальных положений и основного договора.