Поручение на обработку персональных данных клиентов Пользователя

1. Термины и стороны

1.1. «Пользователь» — физическое лицо, индивидуальный предприниматель или самозанятый, зарегистрировавший аккаунт в сервисе CoachTools для оказания услуг в сфере фитнеса и вносящий в сервис данные о своих клиентах.

1.2. «Клиент» — физическое лицо, персональные данные которого Пользователь вносит, хранит и обрабатывает в сервисе CoachTools в целях организации своей работы: запись на занятия и посещения, учёт оплат и абонементов, замеры тела, заметки.

1.3. «Исполнитель» — Индивидуальный предприниматель Сазонова Екатерина Владимировна (ИНН 861504991722, ОГРНИП 325665800051335), владелец и оператор сервиса CoachTools.

1.4. В отношениях, связанных с обработкой персональных данных Клиентов, Пользователь выступает оператором персональных данных Клиентов в значении 152-ФЗ, а Исполнитель — лицом, осуществляющим обработку персональных данных по поручению Пользователя, в порядке части 3 статьи 6 152-ФЗ (далее — «Поручение»).

2. Заключение и срок действия Поручения

2.1. Настоящий раздел является неотъемлемой частью Пользовательского соглашения CoachTools. Регистрируясь в сервисе и принимая Пользовательское соглашение, Пользователь заключает с Исполнителем настоящее Поручение в письменной форме путём присоединения к его условиям в полном объёме, без каких-либо изъятий и оговорок.

2.2. Поручение действует с момента регистрации Пользователя в сервисе CoachTools и до истечения срока исполнения Исполнителем обязанностей по уничтожению или возврату персональных данных Клиентов, предусмотренных пунктом 4.7 настоящего раздела.

3. Предмет Поручения

3.1. Пользователь поручает, а Исполнитель обязуется осуществлять обработку следующих персональных данных Клиентов: фамилия, имя, отчество; номер телефона; адрес электронной почты; сведения о записях на занятия и посещениях; сведения об оплатах, абонементах и сроке их действия (без данных банковских карт и иных платёжных реквизитов); результаты замеров тела (вес, обхваты); заметки и теги, вносимые Пользователем; идентификатор чата Telegram — при подключении Пользователем или Клиентом Telegram-бота сервиса.

3.2. Категория субъектов персональных данных — физические лица, являющиеся клиентами Пользователя.

3.3. Цели обработки, для которых Пользователь поручает обработку Исполнителю: обеспечение функционирования сервиса CoachTools в интересах Пользователя, а именно ведение базы Клиентов, ведение расписания и приём записи на занятия, учёт оплат и абонементов, фиксация результатов замеров, формирование документов по шаблонам Пользователя, направление Клиентам напоминаний и уведомлений о занятиях, в том числе через Telegram-бота, а также техническая поддержка Пользователя. Исполнитель не определяет цели обработки персональных данных Клиентов самостоятельно и не использует их в целях, не связанных с исполнением настоящего Поручения, включая любые собственные маркетинговые цели.

3.4. Перечень действий (операций), которые Исполнитель вправе совершать с персональными данными Клиентов в целях, указанных в пункте 3.3: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в объёме, необходимом для функционирования сервиса, блокирование, удаление, уничтожение — с использованием средств автоматизации и без таковых.

4. Обязанности Исполнителя

4.1. Обрабатывать персональные данные Клиентов исключительно в целях и объёме, определённых разделом 3, и не разглашать и не распространять их третьим лицам, за исключением случаев, предусмотренных пунктом 7 настоящего раздела и законодательством РФ.

4.2. Соблюдать конфиденциальность персональных данных Клиентов и принимать необходимые правовые, организационные и технические меры для их защиты в соответствии со статьёй 19 152-ФЗ, включая: шифрование каналов передачи данных; хранение паролей и ключей доступа исключительно в защищённом (хэшированном либо зашифрованном) виде; разграничение прав доступа персонала по ролям; двухфакторную аутентификацию для персонала, имеющего доступ к базе данных; ведение журнала действий с данными; регулярное резервное копирование; ограничение доступа к серверной инфраструктуре.

4.3. Обеспечивать выполнение требований части 5 статьи 18 152-ФЗ о локализации персональных данных: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных Клиентов — граждан Российской Федерации осуществляются с использованием баз данных, физически размещённых на территории Российской Федерации, а именно в дата-центре ООО «Бегет» (г. Москва, ул. Подольских Курсантов, д. 15Б). Отдельные операции обработки (в том числе временный доступ к данным и их передача по сети Интернет в целях функционирования сервиса) могут осуществляться с использованием сервера приложения, размещённого в Финляндской Республике (г. Хельсинки, Hetzner Online GmbH), — государстве, являющемся участником Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108) и обеспечивающем в связи с этим, для целей статьи 12 152-ФЗ, адекватную защиту прав субъектов персональных данных.

4.4. Не привлекать к обработке персональных данных Клиентов иных лиц без предварительного уведомления Пользователя, за исключением лиц, обеспечивающих техническую инфраструктуру сервиса (хостинг-провайдер баз данных, сервис защиты форм от автоматизированных обращений, сервис доставки электронных писем, мессенджер Telegram — в объёме подключённой Пользователем интеграции), полный перечень которых раскрыт в Политике обработки персональных данных CoachTools (https://coachtools.ru/legal/privacy) и в пункте 7 настоящего раздела.

4.5. По запросу Пользователя, направленному через личный кабинет либо по email support@bazi.cards, в срок не позднее 10 (десяти) рабочих дней предоставлять документы и сведения, подтверждающие принятие Исполнителем мер, предусмотренных настоящим разделом и статьями 18.1 и 19 152-ФЗ, и обеспечивать Пользователю возможность контроля за соблюдением таких мер.

4.6. В случае выявления инцидента, повлёкшего неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных Клиентов, уведомить об этом Пользователя не позднее 24 (двадцати четырёх) часов с момента обнаружения инцидента, а сведения о результатах внутреннего расследования — не позднее 72 (семидесяти двух) часов с момента обнаружения, с тем чтобы Пользователь как оператор персональных данных Клиентов мог, при наличии предусмотренных законом оснований, соблюсти собственные сроки уведомления Роскомнадзора, установленные частью 3.1 статьи 21 152-ФЗ.

4.7. По прекращении использования Пользователем сервиса, по истечении срока действия настоящего Поручения либо по отдельному требованию Пользователя — уничтожить персональные данные Клиентов либо возвратить их Пользователю в машиночитаемом виде (выгрузкой из личного кабинета) в срок не более 30 (тридцати) календарных дней с момента наступления соответствующего события, если иной срок хранения отдельных категорий сведений не установлен законодательством РФ.

5. Обязанности и гарантии Пользователя

5.1. Пользователь гарантирует, что до внесения персональных данных Клиента в сервис он располагает законным основанием для их обработки, предусмотренным статьёй 6 152-ФЗ, включая, если это требуется по характеру данных и способу их получения, согласие Клиента на обработку его персональных данных, оформленное в порядке, установленном законодательством РФ.

5.2. Пользователь как оператор персональных данных своих Клиентов самостоятельно несёт ответственность перед Клиентами и уполномоченными государственными органами за законность целей и способов сбора персональных данных Клиентов, за достоверность вносимых в сервис сведений и за соблюдение прав субъектов персональных данных, включая обязанность (при наличии предусмотренных законом оснований) самостоятельно подать в Роскомнадзор уведомление об обработке персональных данных в качестве оператора.

5.3. Пользователь обязан незамедлительно информировать Исполнителя через личный кабинет либо по email об отзыве Клиентом согласия на обработку персональных данных либо о наступлении иных обстоятельств, требующих прекращения обработки данных конкретного Клиента, и вправе в любой момент самостоятельно удалить данные Клиента средствами сервиса.

5.4. Пользователь обязан не вносить в сервис специальные категории персональных данных Клиентов — сведения о состоянии здоровья, диагнозы, результаты медицинских обследований, биометрические и иные специальные категории персональных данных в значении статьи 10 152-ФЗ: функциональность сервиса для их обработки не предназначена.

6. Ответственность

6.1. В соответствии с частью 5 статьи 6 152-ФЗ, поскольку Исполнитель осуществляет обработку персональных данных Клиентов в соответствии с настоящим Поручением и указаниями Пользователя, ответственность перед Клиентами за законность обработки их персональных данных несёт Пользователь как оператор персональных данных.

6.2. Исполнитель несёт перед Пользователем ответственность за нарушение обязанностей, предусмотренных настоящим разделом, включая нарушение требований к конфиденциальности и защите персональных данных.

6.3. Исполнитель не проверяет и не несёт ответственности за наличие и надлежащее оформление законных оснований (согласий) Пользователя на обработку персональных данных его Клиентов — данная обязанность в полном объёме лежит на Пользователе.

7. Согласие на привлечение субобработчиков

7.1. Пользователь настоящим даёт Исполнителю общее согласие на привлечение к обработке персональных данных Клиентов следующих лиц, необходимых для функционирования сервиса: хостинг-провайдер ООО «Бегет» (Российская Федерация) — размещение баз данных сервиса; Yandex Cloud Postbox, ООО «Яндекс.Облако» (Российская Федерация) — направление автоматических уведомлений и напоминаний по email; Yandex SmartCaptcha, ООО «Яндекс» (Российская Федерация) — защита форм сервиса от автоматизированных обращений; Telegram (Telegram Messenger Inc.) — исключительно в объёме идентификатора чата и текста напоминания, при подключении Пользователем или Клиентом Telegram-бота сервиса.

7.2. Актуальный перечень субобработчиков, места размещения и обработки персональных данных раскрываются в Политике обработки персональных данных CoachTools, размещённой по адресу https://coachtools.ru/legal/privacy.

8. Заключительные положения

8.1. Об изменении условий настоящего раздела Исполнитель уведомляет Пользователя путём публикации новой редакции Пользовательского соглашения на сайте https://coachtools.ru не менее чем за 10 (десять) календарных дней до вступления изменений в силу. Продолжение использования сервиса после вступления изменений в силу означает согласие Пользователя с новой редакцией.

8.2. Во всём, что не урегулировано настоящим разделом, стороны руководствуются 152-ФЗ, иным законодательством Российской Федерации о персональных данных и остальными условиями Пользовательского соглашения CoachTools.