Соглашение о поручении обработки персональных данных (DPA)

1. Предмет и правовые основания

1.1. Оператор поручает, а Обработчик обязуется осуществлять обработку ПДн Конечных клиентов Оператора, передаваемых в Сервис, в соответствии с 152-ФЗ, подзаконными актами Роскомнадзора, ФСТЭК, ФСБ.

1.2. Правовое основание — ч. 3 ст. 6 152-ФЗ.

1.3. Обработчик вправе обрабатывать ПДн только в объёме и способами, предусмотренными Соглашением, и только в целях оказания услуг.

2. Категории ПДн и субъектов

2.1. Категории субъектов: Конечные клиенты — физические лица, взаимодействующие с Оператором через Сервис; сотрудники и представители Оператора — только когда их данные загружены Оператором в клиентские записи, расписания или иные рабочие наборы данных.

2.2. Обрабатываемые ПДн.

От Конечных клиентов: идентификаторы каналов (Telegram user id, VK id, MAX id, cookie виджета); имя; телефон, email; содержимое сообщений и вложений; метаданные взаимодействия; UTM/referrer виджета; данные записей NVisit; история покупок / чеков — при передаче Оператором в рамках loyalty.

Учётные данные пользователей ЛК, договорные реквизиты и платежи самого Заказчика NovaLead обрабатывает как самостоятельный оператор по Политике обработки ПДн, а не по этому поручению.

2.3. Специальные категории ПДн и биометрические ПДн не входят в стандартный объём обработки. Оператор обязуется не загружать такие данные в Сервис без отдельного письменного согласования с Обработчиком и без выполнения требований ст. 10 и 11 152-ФЗ. Медицинская тематика допускается только при наличии у Оператора необходимых согласий и правовых оснований.

3. Цели обработки

3.1. Обработчик обрабатывает ПДн исключительно для:

• функционирования Сервиса (приём сообщений, генерация ИИ-ответов, история, уведомления);
• предоставления Оператору доступа к его данным через ЛК;
• работы NVisit;
• проведения выбранной Оператором онлайн-предоплаты или оплаты записи NVisit;
• информационной безопасности (анти-фрод, защита от атак);
• исполнения требований законодательства РФ.

3.2. Обработчик не использует ПДн Конечных клиентов для собственного маркетинга; для обучения LLM-моделей; для передачи за пределы перечня соисполнителей (раздел 5).

4. Перечень действий по обработке

Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (в пределах раздела 5), обезличивание, блокирование, удаление, уничтожение. Основная база Сервиса размещается у договорного хостинг-провайдера в РФ; отдельные операции могут выполняться соисполнителями из раздела 5 в их инфраструктуре.

5. Привлечение соисполнителей

Оператор даёт согласие на следующих соисполнителей (sub-processors):

О привлечении нового соисполнителя, который получает ПДн по этому поручению, Обработчик сообщает не менее чем за 14 дней публикацией обновлённого DPA и доступным каналом связи с Оператором. При возражении Оператор вправе отключить соответствующую интеграцию или расторгнуть Договор по п. 5.7 Оферты.

При подключении Оператором внешних каналов связи или собственных SMTP-провайдеров Оператор самостоятельно проверяет их условия, юрисдикцию и необходимость уведомления Роскомнадзора о трансграничной передаче.

6. Меры защиты

Технические: шифрование секретов в БД (AES-256-GCM); HTTPS/TLS 1.2+ с HSTS; HMAC-подпись публичных widget-эндпоинтов; хеширование паролей argon2id; token versioning для инвалидации JWT; rate limiting, анти-фрод; изолированные сети Docker, firewall; журналирование AppLog с ротацией около шести месяцев; ежедневная резервная копия основной БД с настраиваемыми шифрованием, удалённым хранением и сроком ротации; мониторинг и алёрты.

Организационные: доступ по принципу минимальных прав; обязательства о конфиденциальности для лиц с доступом к ПДн; ответственный за организацию обработки — ИП Карзаков Д.Е.; регламент реагирования на инциденты; периодическая проверка мер защиты.

Требуемый уровень защищённости и конкретный состав мер определяются применительно к информационной системе, актуальным угрозам и требованиям законодательства РФ.

7. Инциденты безопасности

При обнаружении несанкционированного доступа, изменения, уничтожения ПДн Обработчик обязан:

• не позднее 24 часов с момента обнаружения — уведомить Оператора доступным согласованным каналом;
• принять меры по локализации, сохранению сведений и внутреннему расследованию;
• предоставлять Оператору известные сведения о составе данных, причинах, последствиях и принятых мерах;
• содействовать Оператору в исполнении обязанностей перед субъектами и Роскомнадзором.

По данным, обрабатываемым по поручению, именно Оператор оценивает инцидент и при наличии оснований направляет Роскомнадзору первичное уведомление в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ). Если инцидент относится к данным, для которых NovaLead является самостоятельным оператором, эти обязанности исполняет NovaLead.

8. Права субъектов ПДн

Обработчик содействует Оператору в реализации прав субъектов (ст. 14 152-ФЗ): получение сведений, уточнение, блокирование, удаление, отзыв согласия, обжалование.

Запросы субъектов, поступившие Обработчику, пересылаются Оператору в течение 3 рабочих дней. Оператор отвечает субъекту в срок, установленный 152-ФЗ (до 10 рабочих дней + 5 дней).

Технические инструменты — через ЛК Оператора или API: выгрузка, удаление, блокирование.

9. Сроки обработки и удаление

9.1. Обработчик хранит ПДн в течение действия Договора и в сроки, установленные законодательством.

9.2. Для сообщений не-email каналов история очищается согласно глубине Тарифа (7 / 30 / 90 / 365 дней). Для email-корреспонденции действует отдельный срок: тело письма — до 730 дней, вложения — до 365 дней; техническая метадата может храниться дольше для связности переписки и разрешения споров.

9.3. При удалении аккаунта или данных по подтверждённому запросу:

• операционные данные удаляются из активной БД в рамках процедуры удаления аккаунта;
• остаточные копии основной БД выбывают по настроенному циклу ротации, базово — до 30 дней;
• журналы безопасности AppLog ротируются примерно через шесть месяцев.

9.4. До удаления Оператору следует выгрузить необходимые данные. По письменному запросу Обработчик предоставляет доступное подтверждение выполненной процедуры уничтожения.

10. Ответственность

10.1. Обработчик несёт ответственность перед Оператором в пределах п. 10.2 Оферты.

10.2. Оператор несёт ответственность за законность передачи ПДн Конечных клиентов Обработчику, в том числе за наличие правовых оснований.

10.3. При претензиях/штрафах регулятора к Обработчику по вине Оператора — Оператор возмещает Обработчику убытки.

11. Заключительные положения

11.1. Соглашение вступает в силу с момента акцепта Оферты и действует до прекращения Договора.

11.2. Прекращение Соглашения не освобождает Обработчика от обязанности удалить/вернуть ПДн по разделу 9.

11.3. Ответственный за организацию обработки ПДн: legal@novalead.ru.